Ho trovato Packed.Win32.Krap [Archivio]

View Full Version : Ho trovato Packed.Win32.Krap

robi_pal

17-04-2009, 20:00

Fino ad ora me la sono sempre cavata da solo, ma questa volta è troppo per me :
all'avvio mi compare la solita pagina azzurra che mi richiede il controllo di coerenza su uno dei dischi, se lascio fare mi si blocca al
25 %, se salto la scansione il Pc si avvia normalmente però presenta i seguenti problemi:
1 - non si aggiorna più AVG, non riesco ad eliminarlo e a reinstallarlo.
2 - quando voglio salvare dei file da Firefox mi dice che non dispongo dei privilegi per accedere al disco "I"
3 - a volte compare il messaggio : il file o la directory " I:\$Extend\$ObjID " è danneggiato e non leggibile, ma io il file o la directory
non li vedo in I

Allora ho deciso di seguire il vostro splendido Tutorial "Guida alla disinfezione", ho seguito tutti i passi indicati, per alcune
scansioni ha impiegato anche 2 ore, ma sono arrivato alla fine.
A-Squared mi ha trovato dei File del programma di contabilità infettati da Packed.Win32.Krap!IK., li ho spostati in quarantena, poi
ho proseguito con gli altri tools, ma il problema persiste.

Questi sono i link dei Log dei vari programmi.
A-Squared Free http://www.fileqube.com/file/CmXLHZVmg188606
Dr.Web CureIt http://www.fileqube.com/file/tkhGjd188607
HiJackThis http://www.fileqube.com/file/XlKaZil188609
Malwarebytes http://www.fileqube.com/file/LEQegYGlI188611
F-Secure OnLine http://www.fileqube.com/file/JkBELCLu188612
PrevxCSI http://www.fileqube.com/file/mvqityWeT188613
ESET SysInspector http://www.fileqube.com/file/mTWkzLKO188614
Immagine PrevX http://www.fileqube.com/file/phuRErJk188615
Gmer http://www.fileqube.com/file/szypecnj188608

Io arrivo fino a qui.....

Grazie.

wjmat

17-04-2009, 20:32

ciao

accanto ai log sarebbe ottimo se tu scrivessi il nome della scansione così se tra qualche giorno ricerchiamo un log specifico lo ritroviamo subito ;)

con mbam hai fatto scansione rapida e non si capisce se hai eliminato tutto

Lancia HiJackThis -> Clicca Do a scan only -> Metti la spunta a fianco delle righe che ti segnalo qui sotto -> Clicca su Fix Checked
Riavvia il pc -> Lancia HiJackThis -> Do a system scan and save a logfile
Controlla che tutte le voci fixate siano sparite altrimenti carica il nuovo log rinominato in .txt con la funzione Gestisci allegati che trovi nelle Opzioni aggiuntive o cliccando sull'icona del fermaglio (http://www.hwupgrade.it/forum/images_hwu/editor/attach.gif)

_______________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato toolbar varie (google, yahoo, ask ecc.) e non le usi disinstallale pure nel modo classico.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Logfile of Trend Micro HijackThis v2.0.2
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [PinnacleDriverCheck] I:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [HP Software Update] "I:\Programmi\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "I:\Programmi\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [NBKeyScan] "I:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - Startup: Sommario di OneNote.onetoc2
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programmi\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Programmi\Messenger\msmsgs.exe (file missing)
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O23 - Service: Google Updater Service (gusvc) - Unknown owner - I:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)

per il problema del disco vedi controllo disco in firma e fai il controllo con l'utility della casa costruttrice se non riesci a terminare correttamente il chkdsk

se il controllo coerenza poi dovesse rimanere vedi qui
http://www.hwupgrade.it/forum/showthread.php?t=1962101

dimenticavo... aggiornare al più presto win a sp3 e IE alla versione 7, trattamento in firma per i link

robi_pal

17-04-2009, 22:25

Grazie Wjmat,
domani pomeriggio provo a fare come mi hai consigliato, il Pc con i problemi è quello del mio ufficio, e devo andare là per poter provare.
Scusami se i link non hanno il nome della scansione, provvederò anche a quello.
A domani.

robi_pal

18-04-2009, 12:26

Ho aggiunto il nome della scansione accanto ai Link. :rolleyes:

La scansione con Mbam l'ho fatta due volte, la prima ha impiegato 1 ora e 5 min. scansionando 224069 elementi ed aveva trovato solamente tre chiavi di registro non corrette.
Non so perchè ma non trovo il Log della prima scansione e perciò ne ho fatta fare una seconda, il cui Log è quello allegato, però mi sono sbagliato e ho fatto solamente la scansione rapida. :muro:

Adesso procedo con HiJackThis come mi hai indicato, poi ti posto i risultati.

Ho provato ad eseguire chkdisk da Windows, ma il problema della coerenza rimane, provo con l'utility della seagate.

Chill-Out

18-04-2009, 12:36

Per il discorso del Disco dopo aver digitato da Dos fsutil dirty query x:*

dove x: è il disco da verificare

quale messaggio ti restituisce?

robi_pal

19-04-2009, 18:48

X Cill-Out
il messaggio restituito è :
Il volume - I: è danneggiato

X Wjmat
ho fatto come mi hai detto con HjJackThis, le voci fixate sono sparite tranne la 023 - Service:Google Updater.........

Ti allego comunque il Log

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:00:11, on 19/04/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\spoolsv.exe
I:\WINDOWS\Explorer.EXE
I:\Programmi\a-squared Free\a2service.exe
I:\Programmi\COMODO\Firewall\cmdagent.exe
I:\Programmi\Prevx\prevx.exe
I:\Programmi\FolderSize\FolderSizeSvc.exe
I:\Programmi\Java\jre6\bin\jqs.exe
I:\WINDOWS\AGRSMMSG.exe
I:\Programmi\COMODO\Firewall\cfp.exe
I:\Programmi\Prevx\prevx.exe
I:\WINDOWS\system32\nvsvc32.exe
I:\Programmi\HP\ToolBoxFX\bin\HPTLBXFX.exe
I:\Programmi\Java\jre6\bin\jusched.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\ctfmon.exe
I:\WINDOWS\System32\svchost.exe
I:\Programmi\Adobe\Acrobat 8.0\Acrobat\acrobat_sl.exe
I:\Programmi\AIRPLUS\D-Link AirPlus DWL-120+ Wireless USB Adapter\AIRPLUS.EXE
I:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.it/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - I:\Programmi\AVG\AVG8\avgssie.dll (file missing)
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - I:\Programmi\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - I:\Programmi\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE I:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE I:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [COMODO Firewall Pro] "I:\Programmi\COMODO\Firewall\cfp.exe" -s
O4 - HKLM\..\Run: [Collegamento alla pagina delle proprietà di High Definition Audio] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [AVG8_TRAY] I:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [ToolBoxFX] "I:\Programmi\HP\ToolBoxFX\bin\HPTLBXFX.exe" /enum:on /alerts:on /notifications:on /systrayIcon:on /fl:on /fr:on /appData:on
O4 - HKLM\..\Run: [ConfigurazioneUtenti] "I:\EBRIDGE\Bin\ConfigurazioneUtenti.exe" I:\EBRIDGE
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "I:\Programmi\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [SunJavaUpdateSched] "I:\Programmi\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] I:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO LOCALE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'SERVIZIO DI RETE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] I:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Sommario di OneNote.onetoc2
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Adobe Acrobat Synchronizer.lnk = I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AdobeCollabSync.exe
O4 - Global Startup: D-Link AirPlus DWL-120+ Wireless USB Adapter.lnk = ?
O8 - Extra context menu item: Append to existing PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://I:\Programmi\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: E&sporta in Microsoft Excel - res://I:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Image Converter 2 ??? - I:\Programmi\Sony\Image Converter 2\menu.htm
O9 - Extra button: Invia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - I:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: I&nvia a OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - I:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - I:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{074F87F1-743A-423F-A2D8-14EE1818EA64}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{335FD2B7-DB26-44F1-B75E-D93FFF713DCD}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{6256CCB4-449A-41F0-8AE1-9DFC92CE2610}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CS1\Services\Tcpip\..\{074F87F1-743A-423F-A2D8-14EE1818EA64}: NameServer = 192.168.1.1
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - I:\Programmi\AVG\AVG8\avgpp.dll (file missing)
O20 - AppInit_DLLs: I:\WINDOWS\system32\guard32.dll
O20 - Winlogon Notify: avgrsstarter - I:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - I:\Programmi\a-squared Free\a2service.exe
O23 - Service: AVG Free8 WatchDog (avg8wd) - Unknown owner - I:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: COMODO Firewall Pro Helper Service (cmdAgent) - COMODO - I:\Programmi\COMODO\Firewall\cmdagent.exe
O23 - Service: CSIScanner - Prevx - I:\Programmi\Prevx\prevx.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - I:\Programmi\File comuni\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Folder Size (FolderSize) - Brio - I:\Programmi\FolderSize\FolderSizeSvc.exe
O23 - Service: Google Updater Service (gusvc) - Unknown owner - I:\Programmi\Google\Common\Google Updater\GoogleUpdaterService.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - I:\Programmi\File comuni\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - I:\Programmi\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - I:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrB - Unknown owner - I:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Unknown owner - I:\Programmi\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe (file missing)

--
End of file - 7884 bytes

Il messaggio che mi compare quando tento di salvare l'allegato di una mail è :

I:\DOCUME~1\casa\IMPOST~1\Temp\11.16 *.* non può essere salvato, in quanto non si possiede il permesso per modificare i contenuti della cartella di destinazione.

Cambiare cartella o modificarne le proprietà, quindi riprovare.

Non riesco a gestire gli allegati e nemmeno ad allegare un file cliccando sul fermaglio, spero che vada bene come li ho inviati.

Scusatemi se impiego un po' di tempo a rispondere e a fare i vari test, ma devo andare in ufficio per farli ...

wjmat

20-04-2009, 00:30

Chill-Out

20-04-2009, 08:56

X Cill-Out
il messaggio restituito è :
Il volume - I: è danneggiato

Procedi come indicato qui:

http://www.hwupgrade.it/forum/showpost.php?p=26973059&postcount=19

robi_pal

20-04-2009, 09:55

Fai start → Esegui → digita o copia/incolla in sequenza

sc stop gusvc (invio)
sc delete gusvc (invio)

in questa maniera la O23 dovrebbe sparire

per il controllo coerenza hai seguito tutto il 3d che ti ho linkato?

Ho fatto come mi hai detto e la voce di Googleupdater non c'è più
Il controllo eseguito con SeaTools riesce sempre senza segnalare errori, però se faccio fare il chkdsk approfondito al riavvio, come consigliato da Chill-Out :
Procedi come indicato qui:

http://www.hwupgrade.it/forum/showpost.php?p=26973059&postcount=19

mi si ferma sempre alla voce :
"INSERIMENTO DI UNA VOCE DI INDICE NELL'INDICE $0 DEL FILE 25"

Ho fatto eseguire una nuova scansione a A-Squared ieri sera e mi ha trovato ancora tre file infetti :
a-squared Free - Versione 4.0
Ultimo aggiornamento: 20/04/2009 00:02:19

Impostazioni scansione:

Oggetti: Memoria, Tracce, Cookies, C:\, I:\
Archivio scansioni: On
Scientifico: Off
ADS Scan: On

Scansione avviata: 20/04/2009 00:16:13

I:\Documents and Settings\casa\Documenti\federico\PSP\downgrade psp 2.00-150\[MPH_SXT]Downgrader1.0.zip/overflow.tif rilevati: Exploit.TIFF!IK
I:\eBridge\bin\contord.exe rilevati: Packed.Win32.Krap!IK
I:\eBridge\bin\eBridge.exe rilevati: Packed.Win32.Krap!IK

Scansionati

Files: 301266
Tracce: 589520
Cookies: 5
Processi: 33

Rilevato

Files: 3
Tracce: 0
Cookies: 0
Processi: 0
Chiavi di registro: 0

Fine scansione: 20/04/2009 01:40:45
Tempo scansione: 1:24:32

I:\eBridge\bin\contord.exe In quarantena Packed.Win32.Krap!IK
I:\eBridge\bin\eBridge.exe In quarantena Packed.Win32.Krap!IK
I:\Documents and Settings\casa\Documenti\federico\PSP\downgrade psp 2.00-150\[MPH_SXT]Downgrader1.0.zip/overflow.tif In quarantena Exploit.TIFF!IK

In quarantena

Files: 3
Tracce: 0
Cookies: 0

Il file nella cartella \federico\psp\downgrade non mi interessa più e lo vorrei cancellare definitivamente, è roba vecchia di mio figlio, ma non ci riesco ne' con FILEASSASSIN ne' con UNLOCKER.

Chill-Out

20-04-2009, 10:07

Da Dos digita:

chkdsk /f /x c:

Sarà necessario un riavvio per far partire lo scandisk. A processo completo e Windows avviato, esegui nuovamente fsutil con i parametri indicati sopra e verifica che non sia ancora attivo il flag ("Volume is NOT dirty"). Ai successivi riavvii non dovrebbe più partire il controllo di coerenza.

robi_pal

20-04-2009, 10:34

Scusami Chill-Out, probabilmente sbaglio io qualcosa ma qualunque comando lanci al riavvio, dopo

VERIFICA DEI FILE IN CORSO OK

va sempre a bloccarsi su
"INSERIMENTO DI UNA VOCE DI INDICE NELL'INDICE $0 DEL FILE 25"

ho fatto così : http://www.fileqube.com/file/qsDJDOr189214

dove sbaglio ?

Questo è il risultato per fsutil dirty query i:
http://www.fileqube.com/file/wvcVMv189217

Chill-Out

20-04-2009, 10:44

Portiamo a termine il problema inerente l'infezione, dopodichè meglio spostarsi in Sezione idonea :)

robi_pal

20-04-2009, 11:52

Grazie Chill-Out

Sto tentando in tutti i modi di cancellare quella maledetta directory "PSP"
Quando tento di cancellarla con UNLOCKER mi compare questo messaggio :
http://www.fileqube.com/file/YuWxyJTH189235

Compare sempre : " il file o la directory I:$Extend\$objId è danneggiato e non leggibile. Eseguire l'utilità Chkdsk"

Spero possa esservi utile per aiutarmi

wjmat

20-04-2009, 12:26

robi_pal

20-04-2009, 12:45

avevi usato la versione dos di seatool? se si hai fatto il long test?
quella cartella non sarà cancellabile finchè ci saranno problemi con il disco

Non ho usato la versione DOS però gli ho fatto fare il test "Generico completo", ci ha impiegato 22 minuti, cerco di capire come fare da DOS e poi ci provo.

Questo è il Log di Seatools : http://www.fileqube.com/file/EVcoUqlRO189252

Grazie

wjmat

20-04-2009, 12:56

Non ho usato la versione DOS però gli ho fatto fare il test "Generico completo", ci ha impiegato 22 minuti, cerco di capire come fare da DOS e poi ci provo.

Questo è il Log di Seatools : http://www.fileqube.com/file/EVcoUqlRO189252

Grazie
per la versione dos o crei il floppy o già che ci sei ti crei il cd di ubcd che potrà tornarti utile in futuro anche per il test ram e simili

finisci la disinfezione prima che poi il problema al disco lo risolviamo in sezione più appropriata, come ti ha già sottolineato chill

robi_pal

20-04-2009, 19:08

per la versione dos o crei il floppy o già che ci sei ti crei il cd di ubcd che potrà tornarti utile in futuro anche per il test ram e simili

finisci la disinfezione prima che poi il problema al disco lo risolviamo in sezione più appropriata, come ti ha già sottolineato chill

Ho fatto il Long Test con la versione DOS di SeaTools, non mi evidenzia alcun errore.

Ho tentato di seguire la tua guida per la creazione di UBCD4WIN, ma purtroppo non ho il CD di WinXp con già il Service Pack, l'ho installato in seguito .
Comunque per quello vedrò più tardi, ora mi interessa sistemare il PC e tornare ad utilizzarlo normalmente.

robi_pal

20-04-2009, 21:27

Ho notato adesso che il ripristino configurazione di sistema è stato riattivato e non riesco più a disattivarlo.
Compare il messaggio :
" Ripristino configurazione di sistema ha riscontrato un errore durante il tentativo di attivare/disattivare una o più unità. Riavviare il computer, quindi riprovare."

A volte aprendo SISTEMA dal pannello di controllo non compare nemmeno la linguetta del ripristino, anzi compare una volta si e una no !

wjmat

20-04-2009, 23:11

Ho fatto il Long Test con la versione DOS di SeaTools, non mi evidenzia alcun errore.

Ho tentato di seguire la tua guida per la creazione di UBCD4WIN, ma purtroppo non ho il CD di WinXp con già il Service Pack, l'ho installato in seguito .
Comunque per quello vedrò più tardi, ora mi interessa sistemare il PC e tornare ad utilizzarlo normalmente.
avevo scritto ubcd che è diverso da ubcd4win, lo scarichi ed è già pronto con tutte le utility per dischi, RAM, etc..

per il ripristino vedi in fondo a questo post
http://www.hwupgrade.it/forum/showpost.php?p=24113221&postcount=23

robi_pal

20-04-2009, 23:37

.........
finisci la disinfezione prima che poi il problema al disco lo risolviamo in sezione più appropriata, come ti ha già sottolineato chill

Grazie per aver sopportato le mie incapacità, ma per completare la disinfezione cos'altro devo fare ?

robi_pal

21-04-2009, 08:16

Ieri sera ho lanciato COMBOFIX , seguendo le istruzioni di Wjmat, vi posto il log:

ComboFix Log : http://www.fileqube.com/file/EpUpMUy189740

wjmat

21-04-2009, 10:18

Ieri sera ho lanciato COMBOFIX , seguendo le istruzioni di Wjmat, vi posto il log:

non mi sembra che te lo abbia chiesto :)
i log secondo le modalità, grazie ;)

robi_pal

21-04-2009, 12:18

non mi sembra che te lo abbia chiesto :)
i log secondo le modalità, grazie ;)

Hai ragione Wjmat, è vero che non me l'hai chiesto, l'ho fatto sperando che potesse esserti utile per aiutarmi e perchè ho bisogno che questo PC sia a posto il più presto possibile.

Per "istruzioni di Wjmat" intendevo queste :
http://www.hwupgrade.it/forum/showpost.php?p=24113140&postcount=19

Scusami se sono insistente , ma ne ho davvero bisogno. :help:

ComboFix Log : http://www.fileqube.com/file/EpUpMUy189740

wjmat

21-04-2009, 13:51

a parte l'errore del disco come sta il pc?

robi_pal

21-04-2009, 14:24

La situazione, a parte il controllo coerenza,è la seguente :
1 - non riesco ad eliminare file o cartelle dalla partizione I
2 - non riesco a salvare file da internet nella partizione I, ma li devo salvare su C e poi spostarli. Compare : I:\DOCUME~1\casa\IMPOST~1\Temp\*.* non può essere salvato, in quanto non si possiede il permesso per modificare i contenuti della cartella di destinazione.
Cambiare cartella o modificarne le proprietà, quindi riprovare.
3 - molte volte compare : " il file o la directory I:$Extend\$objId è danneggiato e non leggibile. Eseguire l'utilità Chkdsk"
4 - sul PC ho la contabilità della ditta, visto che i file infetti erano proprio di e-Bridge ( la contabilità), non vorrei perdere il lavoro fatto finora o proseguire e perderlo in seguito, insomma vorrei essere tranquillo che l'infezione non comprometta i dati.
5 - perchè il file infetto "I:\eBridge\bin\eBridge.exe Packed.Win32.Krap!IK" è stato trovato da a-squared e messo in quarantena e lo trovo comunque al suo posto ed il programma e-bridge sembra girare correttamente ?
6 - ho rifatto la scansione, solo della cartella eBridge, con a-squared e mi ha ritrovato sempre i due file infetti, ho provato a scegliere RIMUOVI ma i due file sono sempre al loro posto

Ora non mi viene in mente altro, eventualmente aggiungo dopo
Grazie mille .

wjmat

21-04-2009, 19:55

io farei un backup di sicurezza dei dati importanti e poi proverei di nuovo con il chkdsk

puoi fai controllare quel file su www.virustotal.com e su http://virscan.org/

Una volta sui siti clicca su sfoglia -> cerca il file -> conferma -> Clicca Invia o Upload e attendi l'esito.
Per mostrarci gli esiti, alla fine delle scansioni copia gli indirizzi di entrambe le pagine con i risultati e incollali nella discussione

robi_pal

22-04-2009, 09:29

Forse ho risolto il problema:
ieri sera ho lanciato chkdsk e l'ho lasciato lavorare tutta notte, risultato : questa mattina ho spento e riavviato e il problema di coerenza non c'è più !
Ho provato anche ad eliminare alcuni file e funziona !!! così pure il salvataggio degli allegati mail !!!
Ho controllato su visualizzazione eventi ed ho visto che il chkdsk è durato poco più un'ora.
Le altre volte che lo lanciavo dopo un quarto d'ora in cui sembrava fosse bloccato resettavo il PC, invece ci voleva più tempo !
Il dubbio mi è venuto quando ho fatto la scansione con Combofix e al mattino del giorno dopo il Pc era stato riavviato ed aveva superato il controllo di coerenza, non me ne ero reso conto subito. :doh:

Per quanto riguarda i file di eBridge ho fatto la scansione :

............

puoi fai controllare quel file su www.virustotal.com e su http://virscan.org/

............

Questi sono i link :

E-BRIDGE.EXE
http://www.virustotal.com/it/analisis/78785b050be370f84c5707339c17833f

http://virscan.org/report/6eafbe2bfbe192302ad66899d45f76ae.html

CONTORD.EXE
http://www.virustotal.com/it/analisis/6698e235b0fc709e53640cd592de7699

http://virscan.org/report/6e45d3a85d0dfd801249da95c1209445.html

Ho mandato una mail alla softwarehouse del programma ed attendo risposte da loro, vi farò sapere.

Per il momento grazie mille a Wjmat e Chill-Out per l'aiuto e, soprattutto, per la pazienza. :)

wjmat

22-04-2009, 09:38

ottimo ;)

penso comunque si tratti di falsi positivi

robi_pal

22-04-2009, 22:47

La softwarehouse (Buffetti) mi ha confermato che si tratta di falsi positivi.

Sto seguendo la guida per la post disinfezione, complimeti a Wjmat per l'ottimo lavoro della guida .

Complimenti anche a xcdegasp per la guida alla disinfezione.

SIETE DEI GRANDI !!!

Grazie ancora. ;)

wjmat

23-04-2009, 08:12

di nulla ;)

ciao