Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da master3000

si lho gia fatto quando avevo il virus e mi ha risolto il problema, ma mi compare questo messaggio qui ancora, ed anche se faccio c:\mbr.exe -f non cambia niente

Ok, il log può rimanere "sporco".

[AttilsNa]

Originariamente inviato da Chill-Out

In formato testo (.txt) esattamente come viene rilasciato, esempio http://wikisend.com/download/529858/prevx1.txt

Chill scusami,ma non ci riesco,mi esce sempre uguale.
Ma poi cosa cambia? basta cliccare su download ed esce il mio log.
Se serve necessariamente,ti prego di spiegarmi come fare e cerco di postarlo

[master3000]

Originariamente inviato da Chill-Out

Ok, il log può rimanere "sporco".

ok capisco

xò sto avendo dei problemi di blocco del pc improvvisi, cioè che si blocca tutto e si sfasano le finestre e le icone, non so come spiegarlo, ma sta di fatto che devo solo riavviare/resettare poi
ho il dubbio che possa essere skype, è possibile?

[Chill-Out]

Originariamente inviato da master3000

ok capisco

xò sto avendo dei problemi di blocco del pc improvvisi, cioè che si blocca tutto e si sfasano le finestre e le icone, non so come spiegarlo, ma sta di fatto che devo solo riavviare/resettare poi
ho il dubbio che possa essere skype, è possibile?

Non saprei, se desideri allega i log dei tool indicati in Guida.

[master3000]

Originariamente inviato da Chill-Out

Non saprei, se desideri allega i log dei tool indicati in Guida.

credo di aver risolto, il problema molto probabilmente era dovuto al vcore della scheda madre troppo basso, xkè il giorno stesso che ho risolto il problema poi ho overclockato la CPU

[gabmac2]

allora,tempo fa avevo preso questo virus ,avevo formattato il disco e eliminato la partizioni che avevo ed ero ripartito,tutto ok con una sola partizione

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

dopo un paio di settimane ho dovuto ricreare una partizione il "responso" è

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x0747059C4 !
PE file found in sector at 0x0747059DA !

il pc è ovviamente pulito,fatto scansioni con qualcunque programma e tutto ok
Il mio problema è però questo,dovrei ridimensionare la partizione ,potrebbe questo creare problemi,o è solo "sporcizia inoffensiva"?
grazie in anticipo

[Chill-Out]

Originariamente inviato da gabmac2

Il mio problema è però questo,dovrei ridimensionare la partizione ,potrebbe questo creare problemi
grazie in anticipo

Direi di no

[gabmac2]

ok,quindi è come pensavo è solo sporcizia

[Briseide28]

Originariamente inviato da Briseide28

Questa è la scansione di cui parlavo, fatta una decina di giorni fa. In realtà, non ricordavo, era una scansione rapida. Nell'attesa di riuscire di nuovo ad eseguire quella completa, allego questa.
http://wikisend.com/download/501182/mbam-log-2010-01-03 (17-39-49).txt

Come non detto, non solo non sono più riuscita a condurre a termine una scansione completa, ma in più ora il programma lancia un messaggio d'errore e non si avvia affatto. Il pc inoltre tende a bloccarsi con più facilità rispetto alla scorsa settimana, spesso proprio all'avio, ad esempio mentre ri-disabilito help assistant da gestione computer, che come al solito si riattiva da solo. Che devo fare? Mi conviene forse portarlo direttamente da un tecnico?

[gabmac2]

Briseide28 hai provato con mbr -f ?Che programmi di pulizia hai usato?

Anche a me succedeva di blocchi e ho risolto inizialmente con mbr -f e poi devi intraprendere l' opera di pulizia

[Briseide28]

Ci ho provato, ma nulla... Ho adoperato un sacco di programmi, più o meno tutti gli anti-rootkit consigliati sul web, ma qualcuno si blocca, e qualcuno non rileva nulla...

[Briseide28]

Devo interpretare questo silenzio come conseguenza del fatto che non ci sono più speranze per il mio pc? Cooomunque, in preda ad un attacco di nevrosi ieri ho provato a cancellare tutte le tracce della cartella help assistant sia in documents and setting che in gestione computer... ovviamente dopo poco si è rigenerato nuovamente, e non solo: le cartelle sono diventate addirittura 3-4
Ho inoltre scansionato con Combofix, ed è andato tutto bene, tranne nella fase finale di salvataggio del log quando il pc si è bloccato. Comunque questo non è andato perso per fortuna, lo allego nel caso possa servire a qualcosa.
http://wikisend.com/download/885418/ComboFix.txt

[Chill-Out]

Originariamente inviato da Briseide28

Devo interpretare questo silenzio come conseguenza del fatto che non ci sono più speranze per il mio pc? Cooomunque, in preda ad un attacco di nevrosi ieri ho provato a cancellare tutte le tracce della cartella help assistant sia in documents and setting che in gestione computer... ovviamente dopo poco si è rigenerato nuovamente, e non solo: le cartelle sono diventate addirittura 3-4
Ho inoltre scansionato con Combofix, ed è andato tutto bene, tranne nella fase finale di salvataggio del log quando il pc si è bloccato. Comunque questo non è andato perso per fortuna, lo allego nel caso possa servire a qualcosa.
http://wikisend.com/download/885418/ComboFix.txt

Segui questa procedura

* Accendi il PC, subito dopo l'accensione premi il tasto Canc o F2 per accedere al BIOS
* Entrata nel BIOS SETUP UTILITY seleziona la scheda BOOT e successivamente BOOT DEVICE PRIORITY
* Seleziona 1st Boot Device ed imposta nelle Options CDROM mentre come 2nd Boot Device imposta Hard Drive
* A questo punto inserisci nel lettore CDROM il Disco di Installazione di Windows
* Premi F10 per confermare ed uscire
* Riavviato il PC ti verrà chiesto di premere un tasto qualsiasi per avviare da CDROM
* Quando viene visualizzata la schermata "Installazione", premere R per avviare la Console di ripristino di emergenza
* Nel caso di un sistema ad avvio multiplo, selezionare l'installazione a cui accedere dalla Console di ripristino di emergenza, 1) X:\Windows quindi premere 1 e confermare con OK
* Quando richiesto, digitare la password di amministratore. Se il campo della password di amministratore deve essere lasciato vuoto, premere solo INVIO.
* Al prompt dei comandi digita FIXMBR e clicca su Y per confermare
* Per uscire dalla Console di ripristino di emergenza e riavviare il computer, digitare exit al prompt dei comandi, quindi premere INVIO dopo aver rimosso dal lettore CDROM il Cd di Installazione di Windows

ci sono altri problemi che affronteremo successivamente.

[Briseide28]

Dove posso trovare il cd di installazione di windows?

[Chill-Out]

Originariamente inviato da Briseide28

Dove posso trovare il cd di installazione di windows?

Dovresti averlo, altrimenti chiedi aiuto ad amici, conoscenti etc....

[Briseide28]

Ho controllato, ma ho solo quello della motherboard e dell'ati... mi adopererò per cercarlo da qualcun altro, sperando di trovarlo... ma va bene anche non originale? E deve essere della mia medesima versione di windows, esatto? Ti ringrazio ancora per l'aiuto!

[Chill-Out]

Originariamente inviato da Briseide28

ma va bene anche non originale?

No

Originariamente inviato da Briseide28

E deve essere della mia medesima versione di windows, esatto?

Si

[AttilsNa]

Originariamente inviato da AttilsNa

Chill scusami,ma non ci riesco,mi esce sempre uguale.
Ma poi cosa cambia? basta cliccare su download ed esce il mio log.
Se serve necessariamente,ti prego di spiegarmi come fare e cerco di postarlo

ragazzi per favore,aiutatemi ad aiutarvi

[Chill-Out]

Originariamente inviato da AttilsNa

ragazzi per favore,aiutatemi ad aiutarvi

Terminata la scansione clicca su Tools - Salva file di log - nel campo Nome file: digita PREVX - salvalo sul Desktop ed allegalo.

[el ciel0]

salve a tutti,penso di aver preso qualche giorno fa mbr rootkit,il pc si blocca\va ho trovato la canonica cartella helpassistant(eliminata).
per tentare di risolvere il problema ho fatto:
scansione online f-secure(mi ha trovato alcuni file risalenti a tale mebroot,1 non lo ha eliminato)
usato mbr(in modalità provvisoria)il log è questo:
device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x017499F00
malicious code @ sector 0x017499F03 !
PE file found in sector at 0x017499F19 !

ho usato il comando mbr.exe -f ricordo di aver letto un log con su scritto mbr restored,dopo di ciò il log era sempre lo stesso(come quello sopra)

poi HO PRESO DRWEB CUREIT,mi ha rilevato un paio di trojan che ho eliminato e un paio di problemi in cartelle di office,quarantenati.

Il problema è che il log di mbr è sempre come quello postato sopra,

ho poi fatto una scansione con prevx mi ha trovato pkjmcxp.exe, ma non lo vuole eliminare perchè ho la versione free,il mio avira però non lo vede.

cosa ne pensate???pensate che la cosa sia grave???che devo fare???come elimino pkjmcxp.exe?

Grazie mille

P.S. il pc è in internet da almeno una 30ina di minuti è non è ancora crashato/freezato ne si è creato helpassistant,però mi sembra tutto un po lento