[WinXp] Virus (forse) che nasconde l'HD [Archivio]

View Full Version : [WinXp] Virus (forse) che nasconde l'HD

Thazy

22-09-2008, 09:53

Ciao a tutti,
ho un problema che penso sia dovuto ad un virus ma non ne sono sicuro.

I fatti sono questi:
- in uscita dal boot il pc chiede se devo avviare Xp normalmente, oppure mod. provvisoria oppure ultima conf. funzionate (solita schermata dovuta a riavvio "d'emergenza"). Qualsiasi soluzione scelga, il pc comincia acaricare Windows ma quasi subito si riavvia, se chiedo di non effettuare il riavvio automatico dopo errore di sistema, il blue screen mi dice di verificare gli HD ( che siano installati correttamente e poi con con chkdsk /F ).
- Se provo ad usare il cd di installazione di windows e la console di ripristino, il sistema si blocca dicendomi che non ci sono dischi collegati (il disco è un seagate 7200.10 da 320GB).
- Se provo ad usare seatools for dos per verificare il disco, il programma non si avvia nemmeno o termina subito senza fare nulla (prob non riconosce il disco, vedere sotto perché suppongo questo).
- Ho un disco identico, ho installato in questo WinXP. Dopo l'instalalzione ho aggiornato il SO con tutti gli aggiornamenti della MS, ho installato Avira free. Poi ho provato a collegare anche l'altro disco (sia a freddo, si a caldo su eSATA) ma NON viene visto da win (solo quando l'ho collegato a caldo alla porta eSATA, la prima volta, mi ha rilevato il nuovo hardware e mi ha detto: "hw installato correttamente" però il disco non c'era nè in esplora risorse, ne in gestione dischi).
- Ho installato sul disco con Win funzionante Seatools for windows, se lo lancio mi dice che "probabilmente la periferica non è supportata" e poi esce. Se lo lancio con il solo disco di sistema invece lo rileva correttamente e mi dice che è tutto ok (i due dischi sono identici).
- Ho lanciato Ubuntu 08.04 Live da un CD, mi vede e mi monta tutte le partizioni anche se, la prima volta, ho dovuto fare il mount con l'opzione "force" perchè mi segnalava che era il disco era flaggato dirty (prob per il riavvio automatico).
- Per scongiurare si trattasse di un prob hw del disco, ho usato il comando dd di Linux per clonare il vecchio disco su quello funzionante. Ora il disco funzionante si comporta esattamente come il primo.
- Ho usato Avira Rescue CD per cercare virus nel disco e non ha trovato nulla di particolare (una paio di Trojan in keygen che non ho mai usato)

Adesso non so bene come andare avanti, vorrei seguire la guida ma mi trovo nella situazione in cui tutti (o quasi) i programmi per DOS/Win (compreso il CD di installazione) non vedono il disco (i sistemi GNU/Linux invece si, compreso Avira Rescue CD). Pensavo di scaricare l'ISO del kaspersky rescue cd e provare con quella, che ne dite? Altre idee? Vorrei evitare di reinstallare il SO perché l'ho fatto il mese scorso e perché ho sei utenti da ripristinare con tutti i loro programmi e i loro documenti etc, etc, etc... in pratica due balle.

wjmat

22-09-2008, 10:18

ciao
penso che si sia rovinata la tabella delle partizioni

l'unico programma free per questi problemi è testdisk
http://www.cgsecurity.org/wiki/TestDisk

qui una discussione con un problema simile al tuo
http://www.hwupgrade.it/forum/showthread.php?t=1180178

Thazy

22-09-2008, 10:25

ciao
penso che si sia rovinata la tabella delle partizioni

Potrebbe essere ma Linux riconosce correttamente le partizioni (non so se sia un dato significativo).
In ogni caso grazie per i links, adessi me li guardo :)

Thazy

22-09-2008, 14:05

Aggiornamento:
- Ho provato Testdisk 6.10 bootando con RIPlinux boot CD. Il programma non trova nessun problema, vede il disco, vede le partizioni al primo colpo, verifica i settori di boot e il MBR. In definitiva ninte di sospetto. Eppure WinXP non parte.

wjmat

22-09-2008, 14:59

sto facendo delle prove anche io dato che non l'ho mai usato seriamente...

dopo che scegli analize, lui trova le partizioni con eventuali errori, fai quick search e ti segnala la tabella delle partizioni da ripristinare
in seguito dovresti fare write e confermare

per precauzione, nel menù principale sotto analise c'è advanced
sotto li hai la possibilità di farti il backup preventivo tramite image creation, se la partizione è 200GB ovviamente avrai bisogno 200GB di spazio per crearla

tu che opzioni hai già provato?

Thazy

22-09-2008, 15:28

dopo che scegli analize, lui trova le partizioni con eventuali errori, fai quick search e ti segnala la tabella delle partizioni da ripristinare
in seguito dovresti fare write e confermare

Per prima cosa, grazie dell'aiuto che mi stai dando :)

Io ho fatto analize e mi ha subito trovato le partizioni (1 pri+boot, 1ext, 1 log), non ha seganlato errori (o, almeno, non li ho visti).
Ho fatto "quick search" e mi ha trovato le due partizioni (primaria e logica) e le ha segante in verde e senza segnalare nulla.
Qui forse avrei dovuto fare "write", magari stasera provo (ora sono in ufficio).

Cmq credo che il problema non stia qui, ad occhio e croce un virus (o qualcos'altro) mi ha rovinato qualche file importante (potrebbero essere i driver AHCI, stasera provo a fare un boot impostando il BIOS con i driver ATA normali), però non si spiega come mai non riesca ad accedere ai dischi con il CD di Windows (dopo avergli dato i driver da floppy con F6).

wjmat

22-09-2008, 15:53

non le vede proprio perchè si è rovinata la tabella delle partizioni
prima di fare write se puoi fai il backup delle partizioni

dopo il quick search attento che con le frecce modifichi le partizioni
es. primaria bootable/primaria/logica..

Thazy

22-09-2008, 16:06

non le vede proprio perchè si è rovinata la tabella delle partizioni
prima di fare write se puoi fai il backup delle partizioni
Le partizioni le vede, le vede anche prima di fare il "quick search" (stiamo parlando di TestDisk, giusto?) quello che non vedo sono segnalazioni di errore. La lista delle partizioni lette è corretta e non mi segnala nessun tipo di irregolarità. Cmq proverò a fare "write" tanto ieri ho clonato il disco e quindi, su quello su cui lavoro, posso fare esperimenti con una certa sicurezza.

dopo il quick search attento che con le frecce modifichi le partizioni
es. primaria bootable/primaria/logica..

Si, l'ho visto, grazie ;)

wjmat

22-09-2008, 16:15

si parlo di testdisk...
aggiornami su come va ;)

Thazy

22-09-2008, 20:34

aggiornami su come va ;)

Allora va abbastanza bene, sono riuscito a riavviare il PC.
La procedura è stata molto semplice: da BIOS ho impostato il metodo d'accesso al disco come IDE invece che AHCI come era prima (l'altra opzione era RAID) e il SO è partito.
Rimane da capire cosa sia successo esattamente in quanto, fino a venerdì, il metodo d'accesso era AHCI e tutto funzionava correttamente, ricordo benissimo che, all'installazione di WinXP, un mese fa, ho fornito i driver AHCI con il classico F6.

Ora sto facendo le scansioni anche perché, appena sono riuscito ad avviare il PC, mi è apparso un dialogo che mi diceva che l'installazione della periferica era riuscita e che dovevo riavviare (cosa che non ho fatto perchè non ho idea di quale periferica si tratti). Altra cosa che devo capire è come ritornare ad usare i driver AHCI senza reinstallare windows.

Grazie a tutti dell'aiuto, nel caso le scansioni trovino qualcosa, ci si ritrova qui ;)

wjmat

22-09-2008, 20:46

Allora va abbastanza bene, sono riuscito a riavviare il PC.
La procedura è stata molto semplice: da BIOS ho impostato il metodo d'accesso al disco come IDE invece che AHCI come era prima (l'altra opzione era RAID) e il SO è partito.
Rimane da capire cosa sia successo esattamente in quanto, fino a venerdì, il metodo d'accesso era AHCI e tutto funzionava correttamente, ricordo benissimo che, all'installazione di WinXP, un mese fa, ho fornito i driver AHCI con il classico F6.

Ora sto facendo le scansioni anche perché, appena sono riuscito ad avviare il PC, mi è apparso un dialogo che mi diceva che l'installazione della periferica era riuscita e che dovevo riavviare (cosa che non ho fatto perchè non ho idea di quale periferica si tratti). Altra cosa che devo capire è come ritornare ad usare i driver AHCI senza reinstallare windows.

Grazie a tutti dell'aiuto, nel caso le scansioni trovino qualcosa, ci si ritrova qui ;)
quindi con testdisk non hai fatto nulla alla fine...
aspetto altre news ;)

xcdegasp

23-09-2008, 12:46

Thazy

23-09-2008, 13:33

nonè che avevi aggiornato il bios?

No, anche perchè il BIOS era configurato correttamente (AHCI). Il problema maggiore è che ho sei utenti (i miei famigliari) su cui ho un controllo relativo (dovrei togliere loro i diritti amministrativi? magari! ma non è semplice ;) )

Ho fatto le scansioni, tutte tranne quella con PrevCSI che non riesco a terminare (scarico il file, lo eseguo, non mi chiede di accettare l'EULA e si apre subito l'interfaccia, lancio lo scan e si ferma al 79% dicendo "Error: C106: Cleanup requires you to purchase a license key. Use coupon..etcetc" [Ok][Annulla]. Sia con Ok che con Annulla la cosa si ripresenta dopo pochi istanti, senza che la scansione sia avanzata di un solo file, dopo un po' di ripetizioni, torna all'interfaccia principale con la scansione incompiuta)

Cmq ecco i logs:

*Malwarebytes Anti-Malware: http://www.fileqube.com/shared/otnJiAux111109
*A-Squared Free : http://www.fileqube.com/shared/fMsZVe111113
*F-secure online: http://www.fileqube.com/shared/QjxAdice111110
*Dr.Web CureIT: www.hwupgrade.helloweb.eu/ParserLog/log/output-3734129472.txt
*ESET SysInspector: http://www.fileqube.com/shared/VwIYvWp111115
*HiJackThis: http://www.fileqube.com/shared/oRfKu111116
*Gmer: http://www.fileqube.com/shared/dbxgIHDv111117

Come anticipavo manca PrevxCSI... da questi che mi dite?

wjmat

23-09-2008, 13:59

con gmer non penso tu abbia fatto scan...

Thazy

23-09-2008, 14:14

con gmer non penso tu abbia fatto scan...

Potrebbe essere però tenderei a dire di si, quando l'ho avviato a fatto un primo scan, dopodichè ho selezionato tutti i drive (mi aveva selezioanto solo C: ) e ho riavvaito lo scan... ma forse ho fatto qualche errore perchè c'ha messo molto poco. :mbe:
Ok, magari stasera provo nuovamente, nel frattempo: ci sono cose da segnalare negli altri logs?

wjmat

23-09-2008, 14:25

mi sembri pulito
in hijackthis puoi eventalmante fixare queste voci

O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programmi\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Alice ti aiuta.lnk = C:\Programmi\Alice ti aiuta\bin\matcli.exe

Thazy

23-09-2008, 14:56

wjmat

23-09-2008, 15:04

Ok, grazie :)

se ti sembra di essere a posto (dai log vedo questo, ma potrebbe esserci altro che puoi vedere solo tu)
leggi bene iltrattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide

Thazy

23-09-2008, 15:36

se ti sembra di essere a posto (dai log vedo questo, ma potrebbe esserci altro che puoi vedere solo tu)
leggi bene iltrattamento di prevenzione / post disinfezione (http://www.hwupgrade.it/forum/showthread.php?t=1726383), ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide

Si, grazie, mi ero già letto quella utilissima guida; appena ho verificato tutto, la applico sicuramente.

Grazie mille per tutto l'aiuto ;)