Virus MBR:SST e Fakesysdef-ox

[Shark_rb]

Per favore aiutatemi.Sono tornato dalle vacanze e ho trovato il pc pieno di virus.Mio padre avrà combinato dei casini.Non ho più niente sul pc o meglio....tutto quello che ho sul computer mi risulta tra i file nascosti.Quando ho avviato il pc mi si aprivano tantissime finestre di errore.Ora non più in quanto sono riuscito a far partire una scansione con avast e con malwarebytes trovandomi molti file infetti.Con avast ho fatto anche una scansione all'avvio trovandomi ulteriori file infetti e ho notato che durante la scansione mi usciva una scritta strana che è la seguente:

NtCreatefile-log error : 0xC0000022 Accesso negato

I virus che credo di avere ancora nel computer sono:

MBR : SSt [Rtk]
win32: Fakesysdef-ox [Trj]

Il pc va lentissimo.Per fortuna sono riuscito a connettermi ad internet e ad usare internet explorer.Firefox non riesco ad aprirlo e tutti i miei documenti e file sono tra i file nascosti.Adesso con malwarebytes risulta tutto pulito ma sicuramente c'è qualcosa che non va nel pc.Come devo muovermi?

PS-Se lo reputate opportuno potete modificare il titolo thread.

[Chill-Out]

Fai una scansione con HitmanPro 3.6

http://www.surfright.nl/en

non prevede installazione e la prima rimozione di eventuali infezioni è gratuita.


NB: allega il log

[Shark_rb]

buongiorno e grazie per l'assistenza.Ho fatto la scansione e mi ha trovato un rootkit.Mi dice di cliccare su avanti per rimuoverlo ma io ho chiuso senza rimuovere nulla ed ho salvato il log.Eccolo:

http://wikisend.com/download/343380/HitmanPro_20120903_0917.log


PS-Nel post iniziale ho dimenticato di scrivere che Avast mi segnala anche questa infezione:

PHYSICALDRIVE0\Partition2

e tale infezione non riesco ad eliminarla.

[nV 25]

se non segui i suggerimenti di HitmanPro sarà difficile che tu ne venga a capo.

Se ti chiede di premere avanti, fallo e attendi che l'operazione finisca (di sicuro vorrà riavviarti il PC).

Quando il PC ti ritorna "disponibile", rifai una scansione con il solito strumento e posta nuovamente il log...

[Shark_rb]

Ciao.Ho seguito le tue istruzioni e mi ha fatto riavviare il pc.Ho fatto una nuova scansione e risulta tutto pulito.Continuo però a non vedere tutti i miei file e programmi.Il pc è sempre lento anche nella navigazione.Firefox continua a non funzionare.Ecco il log:

http://wikisend.com/download/669532/HitmanPro_20120903_1250.log

Per rimuovere il virus ho dovuto accettare la versione di prova di 30 giorni.Non so se forse ho sbagliato qualcosa....

[nV 25]

non hai sbagliato nulla e va tutto bene cosi'.

HitmanPro ti ha ripulito quantomeno dalla parte più nociva dell'infezione, quindi da qui eventualmente riparti seguendo quelle che sono le regole di sezione (leggi, uso di eventuali altri programmi consigliati).

Buono sbattimento! :stordita:

[Shark_rb]

Ho fatto una scansione completa del sistema con avast e mi ha trovato 3 infezioni le quali ho spostato nel cestino.Questo è il risultato del log:

* Nome della scansione 'Scansione completa del sistema
* Avviato lunedì 3 settembre 2012 13.34.21
* VPS: 120903-0, 03/09/2012
*

C:\Documents and Settings\All Users\Dati applicazioni\Alwil Software\Avast5\log\unp150467089.tmp.mdmp [L] MBR:SST [Rtk] (0)
C:\Documents and Settings\All Users\Dati applicazioni\Alwil Software\Avast5\log\unp178616849.tmp.mdmp [L] MBR:SST [Rtk] (0)
C:\Documents and Settings\All Users\Dati applicazioni\Alwil Software\Avast5\log\unp245572281.tmp.mdmp [L] MBR:SST [Rtk] (0)
File infetti: 3
File totali: 53145
Cartelle totali: 5099
Dimensione totale: 52,3 GB

*
* Operazione interrotta: lunedì 3 settembre 2012 13.53.43
* Run-time 19 minuto(i), 22 secondo(i)

Ho fatto anche una scansione all'avvio,sempre tramite avast,e risultava tutto pulito anche se come ho spiegato nel primo post mi compare la dicitura:

...NtCreatefile-log error : 0xC0000022 Accesso negato

In passato non capitava.Come posso muovermi?

[nV 25]

puoi ringraziare HitmanPro che ti ha fatto il grosso del lavoro altrimenti AVAST rimuoveva si, ma sta cippa...

Segui cmq alla lettera le indicazioni che trovi qui:
http://www.hwupgrade.it/forum/showthread.php?t=1599737

[Shark_rb]

Ho fatto una scansione con malwarebytes e risulta tutto pulito.Quando vado alla sezione "infezioni più diffuse" a cosa devo fare riferimento?A Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT?Se sì,devo effettuare le scansioni sia con gmer che con prevx oppure è sufficiente uno dei 2?

[nV 25]

a questo punto, se HP & Malwarebyte dicono che il tuo PC è pulito, tenderei a credergli.

Fai al limite una passata con Prevx + Emsisoft Antimalware e passa eventualmente a descrivere i problemi che continui ad avvertire che, secondo me (ma potrei sbagliarmi) non sono altro che gli effetti di una bella infezione...

[Chill-Out]

Poi aggiorna Flash Player + Java, ci scommetto che entrambe le versioni non sono aggiornate.

[Shark_rb]

Di Java ho la versione 7 update 7 mentre di flash ho la 11.4.402.265.
Ho utilizzato prevx e credo che sia tutto pulito.Ecco il log:

http://wikisend.com/download/139866/log.log

Ho fatto poi una scansione completa con Emsisoft.Mi ha rilevato 5 oggetti che ho messo in quarantena.A questo punto ditemi cosa devo fare.Ecco il log:

http://wikisend.com/download/456562/a2scan_120903-165400.txt


Firefox continuo a non riuscire ad aprirlo.Quando clicco sull'icona mi compare il messaggio:"Firefox è già avviato ma non risponde.Per aprire una finestra si deve prima chiudere il processo esistente di Firefox o riavviare il sistema".
Ho provato a riavviare ma il messaggio continua ad apparire.

Continuo a non visualizzare programmi,documenti,foto,qualsiasi cosa presente sul pc compresa l'unita C:!tutto questo materiale si presenta come file nascosto mentre prima erano visibili.Come devo fare per farli ritornare visibili?C'è una procedura per sbloccare il tutto?

[Shark_rb]

tramite ricerche su google ho scoperto che è il virus fakesysdef che nasconde file e cartelle e che una volta rimosso le cartelle dovrebbero ritornare visibili in automatico ma a me non succede :muro:

[Chill-Out]

Di Java ho la versione 7 update 7 mentre di flash ho la 11.4.402.265.

Strano


tramite ricerche su google ho scoperto che è il virus fakesysdef che nasconde file e cartelle e che una volta rimosso le cartelle dovrebbero ritornare visibili in automatico ma a me non succede :muro:

Fai girare questo tool http://download.bleepingcomputer.com/grinler/unhide.exe

[Shark_rb]

Ho fatto girare il tool e a poco a poco sono ritornate visibili tutte le icone.Anche firefox ha ripreso a funzionare.Ad un certo punto mi è uscita una finestra in cui mi diceva "finish".Ho premuto ok e il desktop è diventato tutto blu con le icone sparite.Ho aspettato un pò per vedere se succedeva qualcosa ma l'immagine rimaneva fissa.A quel punto ho schiacciato il tasto reset ed al riavvio tutte le icone erano visibili.Sul desktop ho trovato il log di unhide.Te lo allego:

http://wikisend.com/download/656200/unhide.txt

PS-Ho cliccato su start---tutti i programmi----ed anche se i programmi ci sono tutti ho notato che se mi sposto con il mouse su esecuzione automatica mi dà vuoto.Stessa cosa su Accessori:mi dà le sottovoci comunicazioni,svago etc etc ma se ci passa sopra con il mouse mi dà vuoto.Stessa cosa per altri programmi come videolan,skype,epson etc etc.A cosa è dovuto?

[Chill-Out]

Ho fatto girare il tool e a poco a poco sono ritornate visibili tutte le icone.Anche firefox ha ripreso a funzionare.Ad un certo punto mi è uscita una finestra in cui mi diceva "finish".Ho premuto ok e il desktop è diventato tutto blu con le icone sparite.Ho aspettato un pò per vedere se succedeva qualcosa ma l'immagine rimaneva fissa.A quel punto ho schiacciato il tasto reset ed al riavvio tutte le icone erano visibili.Sul desktop ho trovato il log di unhide.Te lo allego:

http://wikisend.com/download/656200/unhide.txt

PS-Ho cliccato su start---tutti i programmi----ed anche se i programmi ci sono tutti ho notato che se mi sposto con il mouse su esecuzione automatica mi dà vuoto.Stessa cosa su Accessori:mi dà le sottovoci comunicazioni,svago etc etc ma se ci passa sopra con il mouse mi dà vuoto.Stessa cosa per altri programmi come videolan,skype,epson etc etc.A cosa è dovuto?

Tasto dx su Start - Proprietà - Personalizza - Usa impostazioni predefinite

[Shark_rb]

Ho fatto come mi hai detto ma quando clicco su personalizza non trovo la voce Usa impostazioni predefinite.Mi trovo le sezioni generale e avanzate.In avanzate vedo che è spuntata la voce Apri sottomenu al passaggio del mouse ma poi nella realtà mi risulta vuoto.

[Chill-Out]

Ho fatto come mi hai detto ma quando clicco su personalizza non trovo la voce Usa impostazioni predefinite.Mi trovo le sezioni generale e avanzate.In avanzate vedo che è spuntata la voce Apri sottomenu al passaggio del mouse ma poi nella realtà mi risulta vuoto.

Ok, sei su XP

scarica il file compresso (Varestorepolicies.zip) in allegato sul Desktop, scompattalo, tasto dx del mouse su Varestorepolicies e clicca su installa

http://www.hwupgrade.it/forum/attachment.php?attachmentid=69104&d=1235129274

[Shark_rb]

Ho scaricato il file,l'ho scompattato.Si è formata la cartella VArestorepolicies.L'ho aperta e ho trovato il file.Ci ho cliccato con il tasto destro e ho premuto installa ma la situazione è rimasta inalterata :mc:

[Chill-Out]

Ho scaricato il file,l'ho scompattato.Si è formata la cartella VArestorepolicies.L'ho aperta e ho trovato il file.Ci ho cliccato con il tasto destro e ho premuto installa ma la situazione è rimasta inalterata :mc:

Scarica questo tool

http://www.winxptutor.com/download/accrestore.zip

scompatta l'archivio, doppio click e flagga esattamente come da immagine

http://snag.gy/ALXtB.jpg

al termine clicca su Restore

[Shark_rb]

Niente da fare.Tutto invariato.Quando clicco su Restore mi compare una finestra con scritto: 76 Path not found. :mbe:

Nel frattempo però ho notato una cosa.Ti faccio un esempio: se vado in system32 il file del solitario c'è.Se ci clicco sopra mi si apre tranquillamente.Stessa cosa per il programma paint.Ci clicco e si apre.

[Chill-Out]

Niente da fare.Tutto invariato.Quando clicco su Restore mi compare una finestra con scritto: 76 Path not found. :mbe:

Mah, fai girare ancora unhide

[Shark_rb]

Ho riprovato ma non è cambiato nulla.Questo è il log:

http://wikisend.com/download/191388/unhide.txt

Poi mi è comparsa un'ulteriore finestra:

http://img593.imageshack.us/img593/4785/aaaaln.jpg

Anche se da quando ho fatto girare unhide ho come la sensazione di non avere più file nascosti e che sono tutti visibili.Forse il tool che ho utilizzato per farmi ritornare visibili le icone,mi ha reso tutti i file visibili.Non vorrei sbagliarmi ma in passato ricordo che quando andavo in C:\Documents and Settings alcune cartelle e file eranno nascoste quindi per vederle dovevo spuntare manualmente di voler vedere cartelle e file nascosti mentre ora vedo tutto a prescindere.

Poi come ti ho detto nel messaggio precedente(forse non l'hai letto perchè l'ho modificato in seguito) ho notato una cosa strana.Se vado in C:\WINDOWS\system32 il file del solitario c'è.Se ci clicco sopra mi si apre tranquillamente.Stessa cosa per il programma paint.Ci clicco e si apre.Quindi i file ci sono.Perchè in start---tutti i programmi non me li trova?In tutta la mia vita Paint l'ho sempre aperto da start---tutti i programmi.Non sono mai dovuto andare in system32.

PS-Prima di fare girare unhide mi era stato detto di fare una scansione con Emsisoft la quale mi aveva trovato 5 oggetti che ho messo in quarantena.Erano solo cookie?Te lo chiedo perchè dimenticandomi che erano in quarantena,ho disinstallato il programma.Questo era il log:

http://wikisend.com/download/456562/a2scan_120903-165400.txt

[Chill-Out]

Ho riprovato ma non è cambiato nulla.Questo è il log:

http://wikisend.com/download/191388/unhide.txt

Poi mi è comparsa un'ulteriore finestra:

http://img593.imageshack.us/img593/4785/aaaaln.jpg

Anche se da quando ho fatto girare unhide ho come la sensazione di non avere più file nascosti e che sono tutti visibili.Forse il tool che ho utilizzato per farmi ritornare visibili le icone,mi ha reso tutti i file visibili.Non vorrei sbagliarmi ma in passato ricordo che quando andavo in C:\Documents and Settings alcune cartelle e file eranno nascoste quindi per vederle dovevo spuntare manualmente di voler vedere cartelle e file nascosti mentre ora vedo tutto a prescindere.

Poi come ti ho detto nel messaggio precedente(forse non l'hai letto perchè l'ho modificato in seguito) ho notato una cosa strana.Se vado in C:\WINDOWS\system32 il file del solitario c'è.Se ci clicco sopra mi si apre tranquillamente.Stessa cosa per il programma paint.Ci clicco e si apre.Quindi i file ci sono.Perchè in start---tutti i programmi non me li trova?In tutta la mia vita Paint l'ho sempre aperto da start---tutti i programmi.Non sono mai dovuto andare in system32.

PS-Prima di fare girare unhide mi era stato detto di fare una scansione con Emsisoft la quale mi aveva trovato 5 oggetti che ho messo in quarantena.Erano solo cookie?Te lo chiedo perchè dimenticandomi che erano in quarantena,ho disinstallato il programma.Questo era il log:

http://wikisend.com/download/456562/a2scan_120903-165400.txt

C'è tutto si tratta solo di ripristinre gli shortcuts, scarica

http://www.winxptutor.com/download/admintools.zip

estrai il file compresso e clicca su Restore Administrative Tools Items

[Shark_rb]

Niente da fare.Mi esce questa finestra:

Run-time error '-2147024893(80070003)':
Method of object failed

[Chill-Out]

Niente da fare.Mi esce questa finestra:

Run-time error '-2147024893(80070003)':
Method of object failed

Mi fa lo screenshot di questa cartella?

C:\Documents and Settings\user_name\Local Settings\Temp\smtmp\1

utlizza http://www.mediafire.com/index.php

[Shark_rb]

Ho anche visualizzato i file nascosti ma non ce l'ho questa cartella :eek:

[Chill-Out]

Ho anche visualizzato i file nascosti ma non ce l'ho questa cartella :eek:

Cerca meglio

[Shark_rb]

Non c'è.Ho anche usato la funzione cerca.Quando arrivo in Temp questa cartella non esiste.

[Chill-Out]

Non c'è.Ho anche usato la funzione cerca.Quando arrivo in Temp questa cartella non esiste.

Riavvia il PC e dimmi se sei loggato come Admin

[Shark_rb]

Non so come si fa a loggarsi come admin.Da dove lo vedo?

[Shark_rb]

credo di essere administrator.se clicco su Start,in alto vedo il simbolo di windows con accanto scritto administrator

[Chill-Out]

credo di essere administrator.se clicco su Start,in alto vedo il simbolo di windows con accanto scritto administrator

http://support.microsoft.com/?kbid=891893

diversamente ti deve fare tutto a manina :)

[Shark_rb]

Ho seguito la procedura ma quando sono andato per riaggiungere Accessori premuto ok e cliccato su avanti mi ha chiesto di inserire il cd di windows che in questo momento non ho per cui non è stato possibile copntinuare l'installazione.Come posso risolvere?Ora in system32 non ho più nemmeno i file .exe

[Chill-Out]

Ho seguito la procedura ma quando sono andato per riaggiungere Accessori premuto ok e cliccato su avanti mi ha chiesto di inserire il cd di windows che in questo momento non ho per cui non è stato possibile copntinuare l'installazione.Come posso risolvere?Ora in system32 non ho più nemmeno i file .exe

Stai scherzando?

[Shark_rb]

Nessuno scherzo.Comunque per fortuna sono riuscito a trovare il cd ed è andato tutto a buon fine ;) Per quanto riguarda però i programmi presenti in start...i collegamenti mi sa che li devo aggiungere io manualmente :D Ti ringrazio per l'assistenza.Ti chiedo un'ultima cosa: per avere la certezza che il pc sia pulito posso fare la scansione con qualche altro programma?Mi suggerisci qualcosa?

[Chill-Out]

Scansione completa con il tuo AV residente.

[Shark_rb]

Ho fatto la scansione con Avast e risultava tutto pulito però anche prima avast mi dava pulito però il virus era presente :eek:

[Shark_rb]

Riprendo questo topic per un'ulteriore informazione.I file sono ritornati visibili.Su opzioni cartella---visualizzazione---ho la spunta sulle seguente voci:

Non visualizzare cartelle e file nascosti
Nascondi i file protetti di sistema
Nascondi le estensioni per i tipi di file conosciuti

Nonostante ciò ho come visibili 2 file che se non sbaglio erano da sempre nascosti.Mi riferisco a:

ZbThumbnail.info
Thumbs

Come mai li vedo tra i file visibili?C'è qualcos'altro che non ho settato?

Sui file in questione però ho notato che se clicco con il tasto destro del mouse---proprietà---attributi---manca la spunta su nascosto.

A questo punto mi chiedo una cosa: per nasconderli devo fare questo lavoro singolarmente oppure posso fare ciò con un'unica operazione?Cerco di spiegarmi meglio: posso impostare che tutti i file ZbThumbnail.info abbiano la spunta su nascosto oppure devo per forza procedere uno per volta?