Problema rootkit persistente

[mysterious89]

Prego i gentili moderatori, che nel caso in cui avessi sbagliato sezione di spostarla in quella giusta.
L'ultima volta che ho avuto un rootkit nel pc l'ho eliminato con ''sophos anti-rootkit'' sono riuscito a cancellarlo dal pc, ma dopo il riavvio windows è morto ed ho dovuto formattarlo:muro: .
Sono passati 2 mesi circa da allora e non ho intenzione di farmi fregare di nuovo , tutto è cominciato circa una settimana fà quando aprendo mozilla firefox il broswer era eccessivamente lento , faccio una scansione completa con avast aggiornato alle ultime definizioni virus e motore di ricerca e non rileva nessuna minaccia, allora ho scaricato ''avg anti-rootkit'' e ne rilevo uno, una volta rilevato procedo all'eliminazione sperando di non mandare in crash il sistema come mi era successo in precedenza, non lo sò, qualcosa mi diceva che il pc si sarebbe acceso senza alcun problema, infatti così è stato.
Il broswer però era ancora eccessivamente lento , rifaccio la scansione e me ne trova un'altro ma questa volta non me la sono sentita di rischiare, così per scrupolo scarico ''pc tools spyware doctor'' seleziono scansione completa a massima priorità, sono passate 2 ore circa da quanto l'ho iniziata ed è ancora al 44% e mi ha rilevato la bellezza di 11 infezioni :mbe: con grande amarezza mi accorgo che questo antivirus è a pagamento , sarei disposto ad acquistarlo, ma ho il terrore che mi succede la stessa cazzata che mi è successa tempo fà, è sicuro che una volta eliminati i rootkit il pc non abbia anomalie al sistema? sopratutto, ho la garanzia che questo dannatissimo rootkit non si ripresenti a rompermi le scatole?
dimenticavo, posseggo Windows Vista home basic service pack 2

[Eress]

Senza andare su programmi a pagamento potresti usare MalwareBytes aggiornato. Comunque qui è la sezione sbagliata

http://www.hwupgrade.it/forum/showthread.php?t=1599737

Supporto antimalware

http://www.hwupgrade.it/forum/forumdisplay.php?f=125

[mysterious89]

Senza andare su programmi a pagamento potresti usare MalwareBytes aggiornato. Comunque qui è la sezione sbagliata

http://www.hwupgrade.it/forum/showthread.php?t=1599737

Supporto antimalware

http://www.hwupgrade.it/forum/forumdisplay.php?f=125
la ringrazio, qualcuno sà come si fà a spostare questa discussione nell'apposita sezione?

[mysterious89]

MAI VISTA UNA COSA DEL GENERE
Non riesco a installare il programma da lei consigliato
ho scaricato ''trend micro rootkit buster''
e MI HA RILEVATO LA BELLEZZA DI 190 MINACCE!!!
la maggior parte sono dei file stream, cosa faccio?
i risultati mi sono apparsi a fine scansione quindi non posso creare un file log

[Eress]

Basta cliccare sul tasto segnala sotto il post e poi chiedere lo spostamento della discussione. Se hai il pc infestato in quel modo ti conviene aspettare le risposte degli specialisti in rimozione, altrimenti da parte mia ti consiglierei un bel formattone :D

[Il Bruco]

MAI VISTA UNA COSA DEL GENERE
Non riesco a installare il programma da lei consigliato
ho scaricato ''trend micro rootkit buster''
e MI HA RILEVATO LA BELLEZZA DI 190 MINACCE!!!
la maggior parte sono dei file stream, cosa faccio?
i risultati mi sono apparsi a fine scansione quindi non posso creare un file log

Scarica ComboFix (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) e lo mandi in esecuzione seguendo le istruzioni a video

[mysterious89]

fatto :D trovato un file infetto e l'ha eliminato :
c:\windows\system32\DRIVERS\tmrkb.sys . . . è infetto!!
c:\windows\system32\DRIVERS\tmrkb.sys . . . was deleted!! You should re-install the program it pertains to
.
ma se avvio avg anti rootkit me ne trova sempre 1

[mysterious89]

mmm ho letto su google che questo è un file importante.. non è che invece ho peggiorato la situazione?

[Il Bruco]

Prova ad eseguire Combofix in modalità provvisoria
P.S. E' un file di driver che può essere stato infettato basta poi reinstallare la periferica a cui appartiene.

[mysterious89]

niente, questa volta non ha trovato niente :mad:
eppure avg lo trova...
grazie dell'aiuto che mi state fornendo.

[Il Bruco]

Se Combofix non lo torva si vede che non è un virus.

Alcuni files spesso vengono erroneamente riconosciuti come malware, o più genericamente come programmi sospetti, perché:
1 - sono eseguibili di piccole dimensioni (come i virus)
2 - contengono a volte parti iniziali di codice simili a parti di codici di alcuni virus
3 - permettono di aggirare le protezioni dei programmi (in modo simile a quanto fanno i virus)
4 - i files di installazione vengono spesso pacchettizzati (cioè compressi e trasformati in programmini eseguibili .exe)
attraverso algoritmi simili a quelli usati per pacchettizzare i virus
5 - Gli antivirus moderni usano il metodo "euristico" per determinare se un file è o non è un malware.
In altre parole, gli antivirus mettono il file da scansionare in un'area sicura del pc per osservare il suo comportamento e in caso di azioni sospette il file viene identificato come virus.
Questo metodo di scansione è utile perché a volte così si riconoscono nuovi virus non ancora noti, però c'è il rovescio della medaglia: spesso si etichettano come virus file del tutto innocui (falsi-positivi) solo perché hanno un comportamento sospetto.

[mysterious89]

si ma sia AVG che PC tool spyware doctor mi trovano sempre sto cavolo di virus, spyware doctor lo trova sempre con lo stesso nome mentre ogni volta che provo ad eliminarlo con avg e riavvio si ripresenta sotto forma di un'altro nome, per esempio prima si chiamava a1ki.sys ed ora si chiama a8m72mz2.sys
spyware doctor lo rileva con un nome specifico che non ricordo
ho messo di nuovo a fare la scansione con spyware doctor , sono al 30% e mi ha rilevato 21 infezioni.
C'è qualcosa che non và ed credo che sia tutta colpa a questo rootkit

[mysterious89]

il nome di questo dannato virus è Rootkit.TDSS.v2

[mysterious89]

ho fatto una scansione con tds killer ecco cosa ha rilevato
http://i40.tinypic.com/qxo40p.jpg

[Il Bruco]

http://support.kaspersky.com/faq/?qid=208280684

[mysterious89]

si lo sò come si toglie, ma non l'ho fatto perchè sò che quel file è importante e se lo elimino windows non si avvia più :(
che cavolo faccio?

[Il Bruco]

Non ho letto da nessuna parte che è un file di Windows

tmrkb.sys 56400 byte posizionato in "c:\windows\system32\DRIVERS\"

Latest Virus Detected As Trojan, Worm Files On 20110619

jupikoolu.exe; fwmilwsa.exe; 7a243c.exe;
azone.exe; 75da8a.exe; 926a86.exe; a0492c.exe; 83e9c5.exe; z8pde116.exe;
z8p88523.exe; z8p75725.exe; z8p2e5bd.exe; smss.exe; pautoenr32.exe;
midoumero.exe; jupikoolu.exe; j46n4.exe; ifxcardm32.exe; z7p9b9d8.exe; 7a243c.exe;
azone.exe; 75da8a.exe; 926a86.exe; a0492c.exe; 83e9c5.exe;
z6pcbd69.exe; zapop.dll; wwpehpm.dll; wnnfspwk.dll; ucegivaqpnlsp.dll; termmgrd.dll;
riuvlti.dll; ogavulxpoel.dll; mwbgksmo.dll; msexch4032.dll; mdhcp32.dll;
kbdmaori32.dll; gina.dll; 0tt__gbc5drv-1_.dll; wuaucldt.exe; uxiejolb.dll; sysload.sys;
pzvfcw.dll; mssign3232.exe; eykfcqc.dll; tmrkb.sys; atl7132.dll;
w801t32w.dll; w770t32w.dll;

[mysterious89]

intendo il file sptd.sys

[Contemax59]

intendo il file sptd.sys

Dai un'occhiata QUI (http://www.file.net/process/sptd.sys.html)

Ciauz

[ezio]

Nella sezione antivirus che Eress ti ha linkato trovi le guide alla disinfezione, apri un thread lì solo dopo aver effettuato tutte le operazioni indicate postando eventualmente i log come descritto ;)