Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da Liuk71

Ciao Chill...
Ti posto i link della schermata di Prevx seguente all'utilizzo di fixboot.. credo di aver capito che si tratta dell'analizzatore Euristico che non sempre si attiva.
Ti posto anche il log prevx che non so perche in questo caso mi ha permesso di effettuare la scansione nonostante io non possieda licenza...!!!!

prevx4.txt
http://img21.imageshack.us/img21/5670/schermoprevx.png


Grazie.....!!!!

Log pulito

[Chill-Out]

Originariamente inviato da Eprys

Salve Chill,

ho cercato di far scasionare on line il file monheini.exe rilevato da PrevX tramite virscan e virustotal, ma non mi è possibile caricare il file.
Difatti questo file non si riesce nè a copiare nè a tagliare poichè dice che "è in uso da un programma o dal sistema".
Che fare?

Frattanto ho googlato per reperire notizie sul monheini, ma esso risulta solo nel sito del PrevX come nuova minaccia "che gli altri software non rilevano" (tradotto dall'inglese).

Aspetto tue notizie.
Ti saluto.

Intanto io sto online: mi spiace chiedertelo di nuovo, ma... si può starere sicuri di non andare verso altri problemi???

Come detto precedentemente, per quanto concerne il MBR rootkit siamo a posto, mentre MONHEINI.EXE è la palese dimostrazione che non si può stare tranquilli.

Allega un nuovo log di Gmer

[Eprys]

Caro Chill,

purtroppo il Gmer non parte: Windows rileva un errore e lo termina.
Infatti io all'inizio la scansione l'ho fatta solo con il PrevX.
Che fare???


Intanto mi chiedevo se avevi notizie su sto monheini, che danni può fare se è veramente preoccupante (perché dici che non si può stare tranquilli???).

Infine, quando ti ho allegato la schermata di scansione del Prevx c'erano altre minacce; di quelle il monheini è l'unica seria? Gli altri sono tutti falsi positivi???

Ciao, a presto!

[Chill-Out]

Originariamente inviato da Eprys

Caro Chill,

purtroppo il Gmer non parte: Windows rileva un errore e lo termina.
Infatti io all'inizio la scansione l'ho fatta solo con il PrevX.
Che fare???


Intanto mi chiedevo se avevi notizie su sto monheini, che danni può fare se è veramente preoccupante (perché dici che non si può stare tranquilli???).

Infine, quando ti ho allegato la schermata di scansione del Prevx c'erano altre minacce; di quelle il monheini è l'unica seria? Gli altri sono tutti falsi positivi???

Ciao, a presto!

Cortesemente allega un nuovo log di Prevx

[Giafo]

Salve a tutti.

Anche io sono infetto da "HelpAssistant".

Su questo pc ho 2 installazioni di Xp presenti su due hard disk diversi entrambe infetti.

Vi posto i log di Gmer e Prevx di entrambi gli Hd:

Hd1:
Gmer.txt (Mi è stato impossibile fare scansione con l'ultima versione perchè crashava)
Prevx.log

H2:
Gmer2.log
Prevx2.log

[Chill-Out]

Ciao, produci i log della Seconda e Terza fase.

[Giafo]

Ecco i log della seconda fase, sono uguali per entrambi gli HD così li posto solo una volta

mbr.log
NFix_2009-11-28_10-01-07.log

Ogni volta che aprivo DoctorWeb mi si riavviava il pc, ho ovviato al problema rinominando l'eseguibile e aprendolo dalla modalità provvisoria.

Ho fatto prima la scansione sull'Hd "2" che mi ha dato nei restituiti un BackDoor.MaosBoot, curato dal programma. Ripetendo la scansione dell'Hd "1" tutto è risultato liscio e ora non sembrano esserci più problemi nel pc

CureIt1.log
CureIt2.log

L'unico "dubbio" che rimane riguarda quel sfc_os.dll che Prevx dà come Malware component

[Boiga]

Buongiorno a tutti, premetto che sono scarso in materia pc ma ho cercato di seguire ogni passo..allego qui i primi 3 log..

gmer1.txt


prevx1.log


prevx2.log

Scusate se ho copiato tutti i link ma non sapevo quali si e quali no.
adesso vado avanti con le istruzioni e che dio me la mandi buona...
Grazie


Qui sotto i log della seconda fase

mbr.log

NFix_2009-11-28_13-25-54.log

vado avanti con la terza...sperem ben...
Silvio

[Estval]

Un saluto a tutti

come da istruzioni allego i relativi log

GMER_Log_FASE1.txt


PREVX_LOG_PRIMA.log

PREVX_LOG_DOPO.log

Ringrazio in anticipo per l'aiuto.

Ciao

[Boiga]

Ecco il log della terza ed ultima fase...e mò che faccio?

cureit filtrato.txt

Spero di aver fatto tutto come si deve...
grazie grazie

[Eprys]

Eccoti il log di Prevx fatto oggi.

http://wikisend.com/download/947682/log di Prevx 28 11 2009.log


Aspetto tue notizie

[crips]

Originariamente inviato da Eprys

Eccoti il log di Prevx fatto oggi.

http://wikisend.com/download/947682/log di Prevx 28 11 2009.log


Aspetto tue notizie

Ciao prova con Combofix

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

Salvalo sul desktop.

Importante: Disabilita il tuo antivirus e chiudi TUTTI i programmi aperti,(Firewall compreso) e dopo aver scaricato COMBOFIX, chiudi la connessione.

Doppio click su combofix.exe (comparirà una videata.)
Se ti verrà chiesto se vuoi Installare LA CONSOLE DI RIPRISTINO DI EMERGENZA, clicca NO.
E' probabile che ti siano inviati messaggi dall'antivirus, tu ignorali.
Durante l'operazione di scansione è importante non usare il PC (neanche il mouse) e attendere pazientemente la fine delle operazioni.
Al termine, verrà creato un file log sul Desktop, chiamato C:\ComboFix.txt. Postalo qui.

Disinstalla combofix in questo modo: (dopo che qualcuno di esperto avrà visto il log)
Start
Esegui
nella finestra di dialogo, copia ed incolla questo comando: Combofix /u e premi Invio poi cancella le cartelle in "C" di Combofix e (qoobox)

[crips]

Originariamente inviato da Eprys

Salve Chill,

ho cercato di far scasionare on line il file monheini.exe rilevato da PrevX tramite virscan e virustotal, ma non mi è possibile caricare il file.
Difatti questo file non si riesce nè a copiare nè a tagliare poichè dice che "è in uso da un programma o dal sistema".
Che fare?

Prova a vedere se riesci ad aver risposta qui:

http://www.pcalsicuro.com/main/upload-malware/

Ciao

[Chill-Out]

Originariamente inviato da Giafo

Ecco i log della seconda fase, sono uguali per entrambi gli HD così li posto solo una volta

mbr.log
NFix_2009-11-28_10-01-07.log

Ogni volta che aprivo DoctorWeb mi si riavviava il pc, ho ovviato al problema rinominando l'eseguibile e aprendolo dalla modalità provvisoria.

Ho fatto prima la scansione sull'Hd "2" che mi ha dato nei restituiti un BackDoor.MaosBoot, curato dal programma. Ripetendo la scansione dell'Hd "1" tutto è risultato liscio e ora non sembrano esserci più problemi nel pc

CureIt1.log
CureIt2.log

L'unico "dubbio" che rimane riguarda quel sfc_os.dll che Prevx dà come Malware component

Dai log non emerge nulla, per quanto concerne sfc_os.dll è "ok"

[Chill-Out]

Originariamente inviato da Boiga

Ecco il log della terza ed ultima fase...e mò che faccio?

cureit filtrato.txt

Spero di aver fatto tutto come si deve...
grazie grazie

Allega nuovo log di Prevx

[Chill-Out]

Originariamente inviato da Eprys

Eccoti il log di Prevx fatto oggi.

http://wikisend.com/download/947682/log di Prevx 28 11 2009.log


Aspetto tue notizie

Scarica RootRepeal da qui http://ad13.geekstogo.com/RootRepeal.exe

Doppio click su RootRepeal.exe ed attendi che venga inizializzato
Clicca sul Tab Reports
Clicca su Scan e metti il segno di spunta in tutte le caselle bianche e clicca su OK
Metti il segno di spunta su C:\ e clicca su OK
Attendi pazientemente che finisca la scansione ed allega il log

[ing3nius]

Originariamente inviato da ing3nius

prima fase:

Gmer --> http://wikisend.com/download/529728/gmer.txt

Prevx --> http://wikisend.com/download/458884/prevx post.log (questo è il log successivo al cleanup di due file )

seconda fase:

Stealth MBR rootkit detector -> http://wikisend.com/download/463050/mbr.log

Aggiungo gli ultimi due log:

Norman --> http://wikisend.com/download/939754/...3_18-59-40.log

Cure.it --> http://wikisend.com/download/503806/cureit filtrato.txt


...Grazie in anticipo per il supporto..... spero di aver risoto il problema...attendo un responso....

[gabmac2]

salve a tutti,Avira mi aveva segnalato il sinowal ed ho provveduto a fare pulizia con mbr
il responso

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0747059C1
malicious code @ sector 0x0747059C4 !
PE file found in sector at 0x0747059DA !

Questo dopo "-f" già eseguito ovviamente.Il pc andava in freeze e adesso sembra non più farlo,come posso però risolvere definitivamente?
Grazie in anticipo

[Eprys]

Ecco allegato il log eseguito da Root Repeal

http://wikisend.com/download/442844/RootRepeal report 11-29-09 (17-18-38).txt

Devo precisare che quando inizializzo il programma mi esce Error Invalid PE Image Found; significa qualcosa???

A risentirci.

[Estval]

Originariamente inviato da Estval

Un saluto a tutti

come da istruzioni allego i relativi log

GMER_Log_FASE1.txt


PREVX_LOG_PRIMA.log

PREVX_LOG_DOPO.log

Ringrazio in anticipo per l'aiuto.

Ciao

aggiungo gli altri log:

mbr.log

NFix_2009-11-21_06-02-52.log

cureit filtrato.txt

spero che sia andata a buon fine la cosa

ringrazio in anticipo per l'aiuto