Comparsa di Account Utente

[Nipo]

Il mio PC protetto con comodo e avg e Spybot, gira su windws XP costantemente aggiornato. Fino ad ora non avevo mai avuto problemi seri. Adesso mi è successo una cosa strana. All'accensione ho ricevuto lo solita richiesta di AVG (nonostante abbia spuntato la memorizzazione delle scelte continua sempre a fare le stesse richieste) per collegarsi in rete, cosa che ho permesso. Poi ho lanciato spybot per aggiornamento e mentre attendevo distrattamente ho aperto Firefox che ha richiesto l'istallazione di un aggiornamento. Alla fine dell quale si richiedeva un riavvio del sistema, che ho rinviato. Nel frattempo Spybot si era aggiornato e mi ha richiesto di chiudere firefox cosa che ho fatto. Nonostante ciò Spybot continuava a comunicare che firefox era aperto.
A questo punto ho spento il sistema in modo regolare ed al riavvio sorpresa era presente un account "Utente" che prima non esisteva e che non mi permette di entrare nel sistema.
Cosa debbo fare? Grazie anticipato per l'aiuto

[wjmat]

ciao

nella schermata iniziale quali sono gli utenti che hai e di che tipo sono (admin, account limitato)?
se questo nuovo utente non ti serve puoi eventualamente eliminarlo

l'utente è comparso anche in concomitanza con l'uso di file a rischio?

[Nipo]

E' sucessa una cosa strana!

Dopo la comparsa dell'account che mi impediva di entrare nel sistema in quanto protetto da PW avevo provato ad accendere e spegnere diverse volte il computer ma senza risultato. L'account era sempre li e mi impediva di accedere al sistema. Non sapendo cosa fare ho spento il computer ed essendo un giorno infrasettimanale di lavoro ho aspettato il sabato per vedere cosa fare.

Ora a seguito della tua domanda ho riacceso per verificare e l'account è scomparso e posso riaccedere di nuovo nel sistema che pare funzionare perfettamente.

Cosa è sucesso?

[wjmat]

strano che spariscano gli utenti e poi ricompaiano...

[xcdegasp]

sì non è una situazione normale a meno che non sia un programma che è stato impostato per usare un account a bassi privilegi e nel qual caso lo abbia creato lui..
ad esempio emule è uno di quelli che può creare un account limitato ma dovrebbe chiamarsi "eMule user"

[Nipo]

In effetti adesso che ricordo nel guazzabuglio dei programmi che avevo lanciato c'era anche e-mule.
MA in ogni caso prima di spegnere il sistema lo avevo chiuso.
Ma poi perchè prima c'era questo Account di nome "Utente" protetto da PW ed adesso non c'è più?
Adesso ho fatto un aggiornamento AVG e SPybot, andati a buon fine. Ho fatto una scansione con Spybot e dice che è tutto regolare. Adesso faccio una scansione con AVG.

[wjmat]

spybot non trova nulla anche se hai la peste
aggiorna il tuo apparato difensivo con i programmi e consigli del trattamento in firma
ciao

[Nipo]

Ti ringrazio, per l'aiuto e per le indicazioni

[Paul Freeley]

Ciao a tutti, scusate se sfrutto questa discussione ma ho un problema...

Grazie alla mia demenza mi son beccato una serie di trojan (e credo anche un rootkit) sul pc di mio papà.

Praticamente tutto è cominciato quando zonealarm ha cominciato a segnalare una caterva di tentativi di intrusione (centinaia in pochi minuti All'inizio pensavo fosse ZA che si fosse impallato a causa di Vuze)... Ho riavviato il pc poco dopo e all'improvviso mi son trovato la schermata di login di windows (stranezza, visto che c'è un account solo e non era mai comparsa), ma i tentativi di intrusione permanevano! In seguito ho capito di essermi infettato il pc e, dalle mie prove e ricerche, credo di essere giunto alle seguenti conclusioni:

• il file userinit.exe è compromesso, infatti il fast scan di trojan remover mi dice che è di versione o dimensioni errate... ho provato a sostituirlo esternamente (da ubuntu, insieme a winlogon.exe e ad explorer.exe) ma a quanto pare ad ogni riavvio viene reinfettato. Togliendolo con TR il pc ovviamente s'impalla dato che me lo rinomina e win non riesce ad avviare (connette e disconnette subito);
• probabilmente anche explorer.exe potrebbe essere compromesso, ma non ne sono sicuro;
• la schermata di login è fasulla o comunque anormale, secondo me; ho disattivato la richiesta del logon screen ma è come se comunque loggasse successivamente all'avvio (prima il computer s'accendeva direttamente come ho detto più su)
• ci sono dei file strani (sicuramente malware, da come ho letto in giro) nel sistema: reader_s.exe (in system32 e nella cartella user), services.exe (in windows, non windows/sys32) che mi vengono segnalati da AVG e che vengono rigenerati subito se spostati in quarantena o eliminati (si ricreano al riavvio anche eliminandoli da ubuntu)... entrambi avevano delle voci di registro che ho eliminato, ma non ho ancora potuto controllare se si sono rigenerate o se sono "attivi"

Inoltre c'è un certo bn1.tmp che cerca di connettersi ad internet (malware accertato), ho impostato ZA in modo da impedirgli di accedere alla rete.

Cercando qua e là, ho scoperto ed usato SDFix, che ha eliminato della spazzatura (posso fornire il log se interessa)... Infatti da quel momento i tentativi di intrusione son passati da centinaia a 3 o 4 ogni tanto (prima non ce n'erano proprio, ma è un buon miglioramento , inoltre HJT dà meno voci pericolose), però restano i soliti 3 file detti su, e forse pure altro...
Il pc è stabile, forse un po' rallentato, ma non ho capito se è per colpa dei virus o di avg 8 (che mi pare molto più pesante della 7 che ho rimosso per via di problemi forse causati dai virus)...
Ora, non sono di certo tranquillo con quelle pataccate sul pc, e vorrei cercare di pulir tutto evitando di formattare il pc (a meno che strettamente indispensabile... inoltre spero solo che non sia uno di que bastardi che ti infetta tutti gli eseguibili del pc ).
Volevo usare combofix, ma visto che ho letto che può essere pericoloso ho deciso di chiedere aiuto a voi prima, anche per sentire pareri esperti.
Scrivo questo post intanto per rendere noto il mio problema e cominciare a ricevere qualche feedback, appena avrò tempo (stasera no di sicuro) comincerò a fare i test che proponete ed a postare i vari log.

Se avete bisogno/ho sbagliato qualcosa ditemi pure tutto e grazie in anticipo

[Paul Freeley]

In questo momento sto facendo la scansione con malwarebytes... Per ora non ha trovato nulla.

Invece prevxCSI 3 mi ha trovato un certo rootkit in windows/system32:nackt.exe e qualcosa tipo una chiave di registo infetta; non so se è il risultato di una precedente scansione (della quale non ricordo gli esiti, inoltre prev m'è uscito praticamente a random più volte con questo messaggio, ma non credo che avesse appena finito di scansionare) o ci siano davvero; so però che SDFix aveva tipo eliminato un certo nackt (l'ho visto nei log)...
Se interessa più tardi posto l'immagine.

Inoltre volevo segnalare un'altra cosa: all'avvio di windows explorer.exe non si avvia da solo, ma devo aprire il TM e avviarlo a mano... Che può significare? Prima invece mi usciva una finestrella di winzozz, la quale riportava che explorer.exe stave per essere chiuso per sicurezza

[wjmat]

Originariamente inviato da Paul Freeley

In questo momento sto facendo la scansione con malwarebytes... Per ora non ha trovato nulla.

Invece prevxCSI 3 mi ha trovato un certo rootkit in windows/system32:nackt.exe e qualcosa tipo una chiave di registo infetta; non so se è il risultato di una precedente scansione (della quale non ricordo gli esiti, inoltre prev m'è uscito praticamente a random più volte con questo messaggio, ma non credo che avesse appena finito di scansionare) o ci siano davvero; so però che SDFix aveva tipo eliminato un certo nackt (l'ho visto nei log)...
Se interessa più tardi posto l'immagine.

Inoltre volevo segnalare un'altra cosa: all'avvio di windows explorer.exe non si avvia da solo, ma devo aprire il TM e avviarlo a mano... Che può significare? Prima invece mi usciva una finestrella di winzozz, la quale riportava che explorer.exe stave per essere chiuso per sicurezza

ciao

io avrei aperto un 3d dedicato al tuo problema, ora vedi con i mod dove postare intanto segui la guida alla disinfezione per infetti ed esegui, in ordine, tutte le scansioni ed il caricamento dei relativi log, in un unico post (esempio), e secondo le regole di sezione

[Paul Freeley]

Ciao, sto cercando di racimolare qualche scansione (ora la sto facendo con asquared)... A quanto pare mi son beccato il virut e il virtob (oltre a varie altre cose sembra), però stranamente per ora non ho mai trovato file .exe infettati a parte explorer.exe e poche altre cose che mi puzzano di falso positivo... al momento avevo intenzione di provare un paio di soluzioni che ho trovato su internet, comunque proverò a chiedervi di più in caso avessi bisogno.
Appena posso cerco di postare i log.

[Nipo]

In relazione alla scarsa disponibilità di tempo ho cercato di mettere in atto quanto consigliatomi da Wjmat, che ringrazio per l'interessamento.

Dopo che il computer ha ripreso a funzionare ho seguito le indicazioni sul trattamento di postinfezione/prevenzione. Ho istallato i programmi consigliati o cambiato AV (adesso è Avir), ho effettuato tutte le scansioni e non emersa alcuna segnalazione.

Il PC ha funzionato tranquillamente per una settimana.

Ieri sera è arrivato un aggiornamento da MS (erano due patches + rimozione malware) che ho lanciato.
Dopo il riavvio è ricomparsa la schermata iniziale con l'account utente che, avevo controllato, era presente nel sistema come account amministratore senza PW.
Cliccando per entrare, lo schermo diventa nero e compare un messaggio di allerta che riferisce "Impossibile accedere. Esistono restrizioni sull'account".

Che sia qualche diavoleria MS?

Che debbo fare?

Grazie in anticipo

[Chill-Out]

Prova ad accedere al fantomatico Account da modalità provvisoria F8

[Nipo]

Proprio adesso nei vari tentativi, un po magici, di accensione e spegnimento del PC, in fase di spegnimento il sistema segnalava un aggiornamento MS da istallare allo spegnimento del sistema.
Avrò acceso e spento il PC una ventina di volte dall'aggiornamento e viene istallato solo adesso!!??

Sono molto perplesso!

[Nipo]

Grazie. Non ci avevo pensato!

Sono entrato in modalità provvisoria e posso accedere ad utente.
Lo ho rinominato ed assegnato PW
Ho riavviato il sistema e sono riuscito ad entrare.

Adesso che faccio?

[Chill-Out]

Originariamente inviato da Nipo

Grazie. Non ci avevo pensato!

Sono entrato in modalità provvisoria e posso acccedere ad utente.

Lo cancello?

http://support.microsoft.com/kb/290109/it

[Chill-Out]

Dal momento che il problema dell'Account è stato risolto dire nulla, a meno che tu non abbia altri problemi

[Nipo]

Ti ringrazio per l'aiuto

[Chill-Out]

Originariamente inviato da Nipo

Ti ringrazio per l'aiuto

Prego