gmer e avenger

[Carlyle]

Salve,

effettuando una scansione con gmer ho notato che esce una voce in rosso:
c:\windows\system32\svchost.exe

gmer dichiara che è un rootkit e quindi vorrei eliminarlo.

Dispongo del programma Avenger, ma non sò come utilizzarlo in combinazione con gmer, potrei avere una aiuto, grazie.

Di seguit riporto il log di gmer

gmer1.txt

[xcdegasp]

il log che hai allegato non è completo, in ogni caso non è assolutamente con avenger che devi procedere!
agisci direttamnete da gmer, tasto destro su quella voce rossa e scegliendo la voce selezionabile (ad esempio KILL PROCESS se si tratta di un processo o DELETE SERVICE se si tratta di un servizio). Se abbiamo terminato un processo, prima di riavviare il pc, dobbiamo anche accertarci che al prossimo riavvio non riparta il rootkit. Per far ciò dobbiamo eliminare la chiave di avvio nel registro di sistema relativa al rootkit. Purtroppo dobbiamo farlo a mano cliccando su sul pulsante >>> avremo accesso alle funzionalità avanzate di GMER, quelle che ci interessano saranno le funzioni AUTOSTART e SERVICES.

La voce SERVICES ci elenca tutti i servizi che partono all’avvio di Windows. Come sopra, possiamo controllare manualmente che non ci siano voci in rosso. Se ne vediamo alcune possiamo come al solito cliccarci sopra con il tasto destro ed eliminarle.

La voce AUTOSTART invece ci dà una panoramica molto dettagliata di tutto ciò che parte all’avvio del sistema - servizi di Windows esclusi ovviamente. Stesso discorso vale qui, l’utente può controllare a mano la presenza di eventuali voci rosse cliccando sul pulsante SCAN. L’unica particolarità in questo caso è l’assenza del pulsante destro per la rimozione diretta delle chiavi di registro. Ciò significa che l’utente deve andare ad eliminare manualmente la chiave del registro attraverso l’editor di Windows.

quindi poi salva e pubblica il log delle scansioni "autostart" e "service"

[Carlyle]

Grazie della riposta

Ecco di seguito copia del autostart

gmer.txt


Per Services mi dici come si copia perché non lo sò fare.

[Chill-Out]

Per cortesia allega i log su i Server Remoti indicati nelle Regole di sezione in firma.

[Carlyle]

Salve,

volevo riportare un aggiornamento della mia situazione.
Con hijackthis sono riuscito ad eliminare un file "mssrv32.exe", e sembra che ciò abbia calmato gmer, il quale non mi indica più nessuna voce in rosso, ma nel sezione "rootkit/malware" ci sono solo queste poche righe.
Potrei sapere cosa sono?

GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2009-03-05 11:53:35
Windows 5.1.2600 Service Pack 2


---- Devices - GMER 1.0.14 ----

Device          \FileSystem\Ntfs \Ntfs       896961F8
Device          \FileSystem\Fastfat \Fat     8877D500

AttachedDevice  \FileSystem\Fastfat \Fat     fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device          \Driver\Tcpip \Device\Ip     vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Tcp    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Udp    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\RawIp  vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- EOF - GMER 1.0.14 ----

[xcdegasp]

Originariamente inviato da Carlyle

Salve,

volevo riportare un aggiornamento della mia situazione.
Con hijackthis sono riuscito ad eliminare un file "mssrv32.exe", e sembra che ciò abbia calmato gmer, il quale non mi indica più nessuna voce in rosso, ma nel sezione "rootkit/malware" ci sono solo queste poche righe.
Potrei sapere cosa sono?

GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2009-03-05 11:53:35
Windows 5.1.2600 Service Pack 2


---- Devices - GMER 1.0.14 ----

Device          \FileSystem\Ntfs \Ntfs       896961F8
Device          \FileSystem\Fastfat \Fat     8877D500

AttachedDevice  \FileSystem\Fastfat \Fat     fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device          \Driver\Tcpip \Device\Ip     vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Tcp    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Udp    vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\RawIp  vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- EOF - GMER 1.0.14 ----

indica solo dei driver di sistema, uno di microsoft e altri che sono del firewall
er ameglkio se uppavi l'intero log..