Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[paolo8989]

linko qui perchè anche a me prevX ha trovato un MBR rootkit

http://www.hwupgrade.it/forum/showthread.php?t=2095159

il problema è che nel riavviare per sistemare, mi ha compromesso l'MBR

ora sto scaricando testdisk per cercare di rimediare, ma avrei bisogno di consigli su come procedere

[Chill-Out]

Originariamente inviato da paolo8989

linko qui perchè anche a me prevX ha trovato un MBR rootkit

http://www.hwupgrade.it/forum/showthread.php?t=2095159

il problema è che nel riavviare per sistemare, mi ha compromesso l'MBR

ora sto scaricando testdisk per cercare di rimediare, ma avrei bisogno di consigli su come procedere

Una discussione mi sembra sufficiente http://www.hwupgrade.it/forum/showthread.php?t=2095159 anche in funzione dei problemi che sonno sorti.

[Chill-Out]

Originariamente inviato da Eprys

Ecco allegato il log eseguito da Root Repeal

http://wikisend.com/download/442844/RootRepeal report 11-29-09 (17-18-38).txt

Devo precisare che quando inizializzo il programma mi esce Error Invalid PE Image Found; significa qualcosa???

A risentirci.

Scarica Avenger da qui http://swandog46.geekstogo.com/avenger2/download.php scompatta l'archivio compresso, avvia Avenger copia ed incolla il seguente script nel box bianco

Files to delete:
c:\windows\system32\monheini.exe

clicca su Execute, al termine il Pc si dovrebbe riavviare, se no riavvia tu manualmente ed allega il log che trovi in C:\Avenger.txt + nuovo log di Prevx

[Chill-Out]

Originariamente inviato da Estval

aggiungo gli altri log:

mbr.log

NFix_2009-11-21_06-02-52.log

cureit filtrato.txt

spero che sia andata a buon fine la cosa

ringrazio in anticipo per l'aiuto

A posto, ti suggerisco di leggere i suggerimenti che trovi sempre nella guida in prima pagina.

[Chill-Out]

Originariamente inviato da ing3nius

Aggiungo gli ultimi due log:

Norman --> http://wikisend.com/download/939754/...3_18-59-40.log

Cure.it --> http://wikisend.com/download/503806/cureit filtrato.txt


...Grazie in anticipo per il supporto..... spero di aver risoto il problema...attendo un responso....

Dovremmo essere ok, riallega il log di CureIt in quanto quello allegato è incompleto.

[Chill-Out]

Originariamente inviato da gabmac2

salve a tutti,Avira mi aveva segnalato il sinowal ed ho provveduto a fare pulizia con mbr
il responso

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0747059C1
malicious code @ sector 0x0747059C4 !
PE file found in sector at 0x0747059DA !

Questo dopo "-f" già eseguito ovviamente.Il pc andava in freeze e adesso sembra non più farlo,come posso però risolvere definitivamente?
Grazie in anticipo

Ciao, leggi attentamente la Guida in prima pagina e mettila in pratica, attendiamo i log per il controllo.

[gabmac2]

per il resto sembra a posto,cosa vogliono dire queste 3 righe?

copy of MBR has been found in sector 0x0747059C1
malicious code @ sector 0x0747059C4 !
PE file found in sector at 0x0747059DA !

devo provare con fixmbr?
Il virus può aver fatto altri danni?

[Chill-Out]

Originariamente inviato da gabmac2

per il resto sembra a posto,cosa vogliono dire queste 3 righe?

copy of MBR has been found in sector 0x0747059C1
malicious code @ sector 0x0747059C4 !
PE file found in sector at 0x0747059DA !

Se non vediamo i log dei tool indicati in Guida, precedenti all'uso di Stealth MBR rootkit/Mebroot/Sinowal detector come facciamo a risponderti?

[Boiga]

Ecco un nuovo log fatto con prevx che continua a dirmi che ho dei file infetti..
sempre con speranza..

prevx3.log

Saluti

[Chill-Out]

Originariamente inviato da Boiga

Ecco un nuovo log fatto con prevx che continua a dirmi che ho dei file infetti..
sempre con speranza..

prevx3.log

Saluti

Proprio per questo motivo ti ho chiesto un nuovo log di Prevx, adesso segui questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1789446, attendiamo i log per il controllo dove appena indicato.

[ShardTempox]

salve ragazzi credo di essermi imbatutto pure io nel MBR! ma x essere sciur ovi post i log come da guida.

grazie in anticipo x l'aiuto

gmer.txt

prevx.log

[Chill-Out]

Originariamente inviato da ShardTempox

salve ragazzi credo di essermi imbatutto pure io nel MBR!

Sembrerebbe di no

[ShardTempox]

grazie chill x essere sicuro devo fare qualche altro controllo? o posso mettere il cuore in pace?

[Chill-Out]

Originariamente inviato da ShardTempox

grazie chill x essere sicuro devo fare qualche altro controllo? o posso mettere il cuore in pace?

Per scrupolo allega il log di Stealth MBR rootkit detector

[ShardTempox]

devo andare in mod. provvisoria come da guida? o possa farlo anche normalmente?

[Chill-Out]

Originariamente inviato da ShardTempox

devo andare in mod. provvisoria come da guida? o possa farlo anche normalmente?

Provvisoria

[Estval]

Originariamente inviato da Chill-Out

A posto, ti suggerisco di leggere i suggerimenti che trovi sempre nella guida in prima pagina.

Grazie per l'aiuto

mi metto subito in modalità manutenzione pc!

Grazie ancora.

[Chill-Out]

Originariamente inviato da Estval

Grazie per l'aiuto

mi metto subito in modalità manutenzione pc!

Grazie ancora.

Prego, ciao

[Liuk71]

Ciao Chill....
Scusa ancora per l'insistenza....!!!!
Dato che non ho più avuto risposte da voi... ho provveduto a formattare la partizione windows ma MBR mi da ancora questo:
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x01314FFDB !
PE file found in sector at 0x01314FFF1 !
Cosa devo fare... Secondo te dovevo formattare necessariamente l'intero disco..???? ho devo passare alla formattazione a basso livello..????
Se si... posso con quest'ultima formattare solo una partizione...?????

Grazie di tutto

[Chill-Out]

Originariamente inviato da Liuk71

Ciao Chill....
Scusa ancora per l'insistenza....!!!!
Dato che non ho più avuto risposte da voi... ho provveduto a formattare la partizione windows ma MBR mi da ancora questo:
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x01314FFDB !
PE file found in sector at 0x01314FFF1 !
Cosa devo fare... Secondo te dovevo formattare necessariamente l'intero disco..???? ho devo passare alla formattazione a basso livello..????
Se si... posso con quest'ultima formattare solo una partizione...?????

Grazie di tutto

Come detto in precedenza il log può rimanere "sporco", se non desideri vedere il log "sporco" l'unico modo è formattare a basso livello

DISCHI - come formattare