Eliminare rootkit

[emilianoucciucci]

Salve a tutti... Da molto tempo non scrivo più su questo forum (per fortuna, vuol dire che il pc non ha avuto problemi in questo periodo), però oggi ho di nuovo bisogno di voi. Innanzi tutto mi ripresento. Sono Emiliano.
Ecco il mio problema. Oggi accendo il pc e avg fa la solita scansione giornaliera. A fine scansione mi viene segnalato la presenza di 7 rootkit. Quindi procedo con la rimozione dei suddetti.. Avg ne ripara solo 3 e mi chiede di riavviare. Al riavvio rifaccio la scansione con avg antirootkit e mi vengono risegnalati gli stessi 7 rootkit, e questo per svariate volte. Quindi mi insospettisco e inizio a fare delle ricerche che mi portano a scaricare diversi tool per l'individuazione e l'eliminazione di questi maledetti rootkit. Alcuni non li segnalavano nemmeno, altri non giravano correttamente, altri li trovavano ma non li rimuovevano, uno addirittura mi diceva che era un rootkit mbr (mi pare fosse il tool Stinger): insomma, stavo iniziando veramente a seccarmi. Lascio il pc fermo per un paio d'ore e al ritorno rifaccio la scansione con avg antirootkit che non trova più nessun rootkit, però, immaginando che non avrei avuto tanta fortuna così facilmente, ho rifatto la scansione e stavolta ne ha trovati 6, diversi da quelli precedenti. Segue quindi la riparazione, e avg ne ripara solo 1. Dopo il riavvio rifaccio la scansione e questa volta ne trova 24, sempre diversi da quelli precedenti.. rifaccio la riparazione, segue il riavvio e la scansione non trova più nulla... la rifaccio e niente.. tutto pulito... la rifaccio e bam, ritornano altri 6 rootkit... solita procedura e al riavvio rifaccio altre 3 scansioni con antirootkit e una scansione completa, sempre con avg... tutte e 4 sono risultate pulite.
Quello che vi chiedo adesso è: come posso sapere se il pc è pulito veramente da questi rootkit? Magari mandandovi determinati log e altre informazioni. Mi darebbe fastidio se va a finire che devo formattare il pc per una cosa così.
In attesa di una vostra risposta, grazie in anticipo

[emilianoucciucci]

Vorrei tra l'altro postare una foto di quello che mi appare subito dopo la schermata bios. Quest'immagine dura circa un secondo e poi il pc carica normalmente... Ovviamente non mi è mai apparsa e leggendo i nomi delle 2 scelte (Microsoft Windows Vista e Trend micro rootkitbuster) mi viene in mente che è il nome di uno dei tool scaricati e usati per eliminare i rootkit. Solo che io l'ho disinstallato (secondo me) correttamente... Cosa devo fare?

[Chill-Out]

Allega il log di AVG

Come allegare un log http://www.hwupgrade.it/forum/showthread.php?t=1751598

[emilianoucciucci]

purtroppo presumo che non ci sia più in nessun posto, visto che ho fatto anche la pulizia con ccleaner e quindi ha cancellato anche i log. a meno che non siano messi in qualche cartella di cui sconosco la posizione

[Chill-Out]

Originariamente inviato da emilianoucciucci

purtroppo presumo che non ci sia più in nessun posto, visto che ho fatto anche la pulizia con ccleaner e quindi ha cancellato anche i log. a meno che non siano messi in qualche cartella di cui sconosco la posizione

Senza log è impossibile procedere, ma dal momento che AVG che rileva questo/i Rootkit sistematicamente, ripeti scansione completa.

[emilianoucciucci]

ho appena fatto nuovamente una scansione completa e non mi trova nulla... e a me andrebbe bene, nel senso che se i rootkit sono stati eliminati mi sta molto bene... però la cosa molto strana adesso è quell'immagine che ho postato sopra... Cos'è e come faccio a toglierla?

[Chill-Out]

Originariamente inviato da emilianoucciucci

ho appena fatto nuovamente una scansione completa e non mi trova nulla... e a me andrebbe bene, nel senso che se i rootkit sono stati eliminati mi sta molto bene... però la cosa molto strana adesso è quell'immagine che ho postato sopra... Cos'è e come faccio a toglierla?

Per specificare un'opzione avanzata............Premi F8

[emilianoucciucci]

Ok.. riavvio il pc, premo f8 e poi che voce devo andare a cercare? quali azioni devo fare?

[Chill-Out]

Originariamente inviato da emilianoucciucci

Ok.. riavvio il pc, premo f8 e poi che voce devo andare a cercare? quali azioni devo fare?

Vedi

http://www.hwupgrade.it/forum/attach...9&d=1350556272

[emilianoucciucci]

allora.. ho provato a fare come nell'immagine.. però non riesco, nel senso che la schermata scompare troppo velocemente per permettermi di premere qualsiasi pulsante... ho provato anche a premerlo prima, e mi a fa entrare nella schermata dove mi da le opzioni come modalità provvisoria, ecc.. ora però mi sono accorto di una cosa strana. in questa stessa schermata ogni volta mi apparivano solo 3 opzioni (mod provvisoria, provvisioria con promt e provvisoria con rete) oltre a quella di avviare windows normalmente.. adesso invece mi spuntano molte altre voci, come quella per il ripristino, quella della console di debug, e altre voci, oltre a quelle 3 di prima.. come mai? devo procedere con qualcuna di queste voci? se tento il ripristino ci sono possibilità di perdita di dati? o se invece faccio il ripristino ad un giorno precedente, pensate si possa risolvere la cosa? scusate le 1000 domande, ma tra tutti i problemi che ho avuto, non mi è mai capitata una cosa del genere... comunque per la cronaca sempre che non ci siano più rootkit... almeno per il momento!
Ovviamente vi ringrazio per gli aiuti finora dati

[Chill-Out]

Originariamente inviato da emilianoucciucci

allora.. ho provato a fare come nell'immagine.. però non riesco, nel senso che la schermata scompare troppo velocemente per permettermi di premere qualsiasi pulsante... ho provato anche a premerlo prima, e mi a fa entrare nella schermata dove mi da le opzioni come modalità provvisoria, ecc.. ora però mi sono accorto di una cosa strana. in questa stessa schermata ogni volta mi apparivano solo 3 opzioni (mod provvisoria, provvisioria con promt e provvisoria con rete) oltre a quella di avviare windows normalmente.. adesso invece mi spuntano molte altre voci, come quella per il ripristino, quella della console di debug, e altre voci, oltre a quelle 3 di prima.. come mai? devo procedere con qualcuna di queste voci? se tento il ripristino ci sono possibilità di perdita di dati? o se invece faccio il ripristino ad un giorno precedente, pensate si possa risolvere la cosa? scusate le 1000 domande, ma tra tutti i problemi che ho avuto, non mi è mai capitata una cosa del genere... comunque per la cronaca sempre che non ci siano più rootkit... almeno per il momento!
Ovviamente vi ringrazio per gli aiuti finora dati

Chiedi in sezione Microsoft Windows, spiegando dettagliatamente che cosa hai fatto, cosa che hai omesso in questo post.

[emilianoucciucci]

scusami, come ho omesso? cosa non ho spiegato? ho scritto esattamente quello che ho fatto.. né più né meno. spiegami, se vuoi, che dettagli dovrei darti.

[emilianoucciucci]

rieccomi.. allora, vorrei spiegarti cosa ho fatto. Andando su Start<Pannello di controllo<Sistema<Impostazioni di sistema avanzate<Avanzate<Impostazioni di avvio e ripristino, ho modificato il tempo della schermata di scelta di cui l'immagine sopra e ho provato a fare quanto lo schermata dice. Ho premuto F8 e da quella schermata mi ha portato alla schermata dove posso scegliere tra mod provvisoria, con rete, con promt e in più altre voci come Ripristina ad uno stato precedente, console di debug, e altre voci. Però non ho fatto nessuna operazione perché prima volevo chiedere a voi. Poi sono tornato alla schermata di scelta tra Windows Vista e Trend Micro Rootkitbuster e ho scelto quest'ultimo, solo che appena scelto il computer non ha fatto nulla.. E' rimasto su una schermata nera. Quindi ho riavviato di forza e ho fatto l'ultima opzione, quello della diagnostica memoria windows e tutto è andato bene, senza problemi.. adesso voglio allegarvi uno screenshot preso da un tab. La qualità è pessima lo so, ma ho dovuto usare un resizer per diminuire il peso. Spero il tutto sia dettagliato, in caso dimmi pure che ti dico tutto quello che è necessario. Tutto, basta che mi aiutate a togliere sto Trend micro rootkitbuster.
Ah, se può essere di aiuto in qualche modo, quando accendo il pc, la schemata di bios a volte carica più lentamente. Normalmente ci sta 5 secondi, ma adesso arriva anche a 15-20. Può essere un problema collegato a quello precedente?

[emilianoucciucci]

Originariamente inviato da [Claudio]

Lo installi nuovamente qui il setup, e poi lo disinstalli nella maniera corretta (controlla se ha un suo uninstall proprietario, quindi lo disinstalli con quello, altrimenti va bene da Installazione Programmi).

Allora.. ho scaricato nuovamente Trend micro rootkitbuster dal link che mi hai postato, e adesso ricordo come l'avevo eliminato la prima volta. Semplicemente cancellando l'exe, in quanto il programma sembra un file che non ha bisogno di installazione, infatti non c'è né su Programma e Funzionalità, né c'è una sua cartella in start o altrove. Quindi come suggerisci di procedere con la rimozione? Esiste qualche tool? La cosa strana è che cercando in giro sul web non ho trovato situazioni simili alla mia

Comunque. Questo è il log preso da Rootkitbuster, l'ho fatto per vedere se trovava qualcosa: 1351324179.txt

Mentre questo è il log di Gmer: gmer.log

Mentre il primo mi ha segnalato alcune cose, e il programma stesso mi dice di ripararle (aspetto sempre voi prima di procedere), il secondo mi pare non abbia trovato nulla, quindi secondo gmer non dovrei avere problemi. O almeno così sembra. Attendo la prossima mossa da fare
E ovviamente grazie a tutti che mi state dietro

[Chill-Out]

Originariamente inviato da emilianoucciucci

Allora.. ho scaricato nuovamente Trend micro rootkitbuster dal link che mi hai postato, e adesso ricordo come l'avevo eliminato la prima volta. Semplicemente cancellando l'exe, in quanto il programma sembra un file che non ha bisogno di installazione, infatti non c'è né su Programma e Funzionalità, né c'è una sua cartella in start o altrove. Quindi come suggerisci di procedere con la rimozione? Esiste qualche tool? La cosa strana è che cercando in giro sul web non ho trovato situazioni simili alla mia

Comunque. Questo è il log preso da Rootkitbuster, l'ho fatto per vedere se trovava qualcosa: 1351324179.txt

Mentre questo è il log di Gmer: gmer.log

Mentre il primo mi ha segnalato alcune cose, e il programma stesso mi dice di ripararle (aspetto sempre voi prima di procedere), il secondo mi pare non abbia trovato nulla, quindi secondo gmer non dovrei avere problemi. O almeno così sembra. Attendo la prossima mossa da fare
E ovviamente grazie a tutti che mi state dietro

Entrambi puliti CVD, procedi così

http://windows.microsoft.com/it-IT/w...-boot-ini-file


PS: TrendMicro Rootkitbuster non prevede installazione, pertanto basta cestinare l'eseguibile.

[emilianoucciucci]

Originariamente inviato da Chill-Out

Entrambi puliti CVD, procedi così

http://windows.microsoft.com/it-IT/w...-boot-ini-file


PS: TrendMicro Rootkitbuster non prevede installazione, pertanto basta cestinare l'eseguibile.

Scusa l'ignoranza, ma cosa significa CVD?
Cmq se seguo il link, noto che le impostazioni sono già come da link. Io non vorrei semplicemente "nascondere" la schermata riducendone al minimo la visualizzazione, vorrei proprio eliminare la voce e tutto ciò che riguarda questo programma. Premettendo che elimino semplicemente il file visto che non ha installazione, come faccio ad eliminare la riga e quindi la scelta nel menù del bios? Nel link che mi hai dato tu c'è un altro link che dovrebbe spiegare (a come ho capito io) come eliminare la riga di scelta, solo che se apro il link mi dice che la pagina è impossibile da trovare. Come procedo?

[Chill-Out]

Originariamente inviato da emilianoucciucci

Scusa l'ignoranza, ma cosa significa CVD?
Cmq se seguo il link, noto che le impostazioni sono già come da link. Io non vorrei semplicemente "nascondere" la schermata riducendone al minimo la visualizzazione, vorrei proprio eliminare la voce e tutto ciò che riguarda questo programma. Premettendo che elimino semplicemente il file visto che non ha installazione, come faccio ad eliminare la riga e quindi la scelta nel menù del bios? Nel link che mi hai dato tu c'è un altro link che dovrebbe spiegare (a come ho capito io) come eliminare la riga di scelta, solo che se apro il link mi dice che la pagina è impossibile da trovare. Come procedo?

CVD = come volevasi dimostrare

Hai ripristinato il SO predefinito, direi che siamo a posto.

[emilianoucciucci]

E no.. ancora no.. abbiamo risolto solo il problema dei rootkit, che mi avete confermato non ci dovrebbero essere più.. però quella cosa continua ad esserci.. sto Trend micro non se ne vuole proprio andare...

[Chill-Out]

Originariamente inviato da emilianoucciucci

E no.. ancora no.. abbiamo risolto solo il problema dei rootkit, che mi avete confermato non ci dovrebbero essere più.. però quella cosa continua ad esserci.. sto Trend micro non se ne vuole proprio andare...

E si, hai fatto quanto qui indicato? http://windows.microsoft.com/it-IT/w...-boot-ini-file se si, io personalmente eviterei di mettere mano a Bcdedit per eliminare un parametro che non va ad inficiare il buon funzionamento della macchina.