TheQ.
20-05-2012, 22:24
Ecco cosa mi è successo su un computer infetto da un MBR.
Sintomi:
-lentezza nell'avviarsi, alcune volte si bloccava con una schermata nera.
-lentezza nel disconnettersi, alcune volte si bloccava in chiusura windows.
-problemi anche nell'avviare windows in modalità provvisoria
-ogni tanto si bloccava il broser o qualche altro programma...
- qualche volta appariva una connessione UDP strana in uscita verso un indirizzo ip ignoto.
Sistema: windows XP con comodo internet security = contratta l'infezione MBR senza batter ciglio. Ogni tanto comodo segnalava un problema al defence + che veniva disattivato automaticamente. Altre volte spariva un modulo di rilevamento.
Provo prevx 3...niente.
Cambio dell'antivirus in modalità provvisoria: installato avast 7 = si installava, ma veniva disabilitato subito. La scansione rilevata in windows un possibile virus sul file winstart.bat dentro c://windows/
Altre volte il file winstart non c'era.
Oltre a questo avast ha rimosso altri due file forse infetti con BOO/TDss.M (ma non posizionati in C://).
Noto che con avast (ed anche con avira dopo) la CPU è irrequieta. Senza far nulla appena caricata di solito sta fra gli 0 ed i 8%, invece ora ondeggiava fra vari processi fra 10 e 25% con picchi a 100%.
Disinstallato avast installato Avira, scansione veloce e rileva subito due file infetti nascosti con BOO/Mebroot.A, impossibili da eliminare anche in modalità provvisoria.
Bene, si tratta di un virus MBR, quindi
1) disattivo il ripristino configurazione di sistema
2) scarico MBRcheck.exe
MBRcheck trova che nel computer, l'MBR è infettato con Whistler / block internet.
Provo a curare l'infezione scrivendo un nuovo MBR, non cura niente... riavviando riappare il virus (faccio il backup dell'MBR infetto).
Provo con TDSSKiller di Kaspersky.
Avvio, individua l'infezione rootkit.boot.sinowal.B.
Metto prima in quarantena una copia e poi procedo alla cura.
Reinstallo antivirus e firewall, malfunzionanti.
Eseguo una scansione e non trovo più niente.
Analisi Virustotal (https://www.virustotal.com/file/7ed4c856ade067510ba69e8f493474cadc08b69941b15de903833e47c96ee80a/analysis/1337544343/)
Analisi Virscan (http://r.virscan.org/report/b4f4fe7a13c889306a79ed6e2e5ba3bb.html)
Da notare che ogni antivirus dà un nome diverso all'infezione (non bello se devi trovare un removal tool corretto)...
Veramente ostico come malware.
Dite che ci sia qualcos'altro da rimuovere? provo con qualche altro anti-malware a vedere se ci son ancora residui?
Sintomi:
-lentezza nell'avviarsi, alcune volte si bloccava con una schermata nera.
-lentezza nel disconnettersi, alcune volte si bloccava in chiusura windows.
-problemi anche nell'avviare windows in modalità provvisoria
-ogni tanto si bloccava il broser o qualche altro programma...
- qualche volta appariva una connessione UDP strana in uscita verso un indirizzo ip ignoto.
Sistema: windows XP con comodo internet security = contratta l'infezione MBR senza batter ciglio. Ogni tanto comodo segnalava un problema al defence + che veniva disattivato automaticamente. Altre volte spariva un modulo di rilevamento.
Provo prevx 3...niente.
Cambio dell'antivirus in modalità provvisoria: installato avast 7 = si installava, ma veniva disabilitato subito. La scansione rilevata in windows un possibile virus sul file winstart.bat dentro c://windows/
Altre volte il file winstart non c'era.
Oltre a questo avast ha rimosso altri due file forse infetti con BOO/TDss.M (ma non posizionati in C://).
Noto che con avast (ed anche con avira dopo) la CPU è irrequieta. Senza far nulla appena caricata di solito sta fra gli 0 ed i 8%, invece ora ondeggiava fra vari processi fra 10 e 25% con picchi a 100%.
Disinstallato avast installato Avira, scansione veloce e rileva subito due file infetti nascosti con BOO/Mebroot.A, impossibili da eliminare anche in modalità provvisoria.
Bene, si tratta di un virus MBR, quindi
1) disattivo il ripristino configurazione di sistema
2) scarico MBRcheck.exe
MBRcheck trova che nel computer, l'MBR è infettato con Whistler / block internet.
Provo a curare l'infezione scrivendo un nuovo MBR, non cura niente... riavviando riappare il virus (faccio il backup dell'MBR infetto).
Provo con TDSSKiller di Kaspersky.
Avvio, individua l'infezione rootkit.boot.sinowal.B.
Metto prima in quarantena una copia e poi procedo alla cura.
Reinstallo antivirus e firewall, malfunzionanti.
Eseguo una scansione e non trovo più niente.
Analisi Virustotal (https://www.virustotal.com/file/7ed4c856ade067510ba69e8f493474cadc08b69941b15de903833e47c96ee80a/analysis/1337544343/)
Analisi Virscan (http://r.virscan.org/report/b4f4fe7a13c889306a79ed6e2e5ba3bb.html)
Da notare che ogni antivirus dà un nome diverso all'infezione (non bello se devi trovare un removal tool corretto)...
Veramente ostico come malware.
Dite che ci sia qualcos'altro da rimuovere? provo con qualche altro anti-malware a vedere se ci son ancora residui?