Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da Gablogan

fatto tutto,ecco qua

http://wikisend.com/download/612580/log2.txt

Ma sei sicuro di averlo copiato tutto questo Script, devi copiate tutto il contenuto del Quote

File::
C:\WINDOWS\TEMP\78.tmp

Registry::
[-HKEY_LOCAL_MACHINE\system\ControlSet002\Services\{DEF85C80-216A-43ab-AF70-1665EDBE2780}]

[aboccia69]

Originariamente inviato da wjmat

si procedi pure

grazie... ...beckuppo i dati (cosa che faccio periodicamente - ora approfitto della situazione..) e procedo...

[Gablogan]

Originariamente inviato da Chill-Out

Ma sei sicuro di averlo copiato tutto questo Script, devi copiate tutto il contenuto del Quote

si perfetto ho fatto tutto alla lettera,disattivato ripristino,pulito tutto con ccleaner come scritto in quella guida che mi hai linkato,e ho avviato tutto quello script,per sicurezza l'ho rifatto,ti metto il link,cmq il pc continua ad essere lentissimo purtroppo

http://wikisend.com/download/345590/log3.txt

[Chill-Out]

Originariamente inviato da Gablogan

si perfetto ho fatto tutto alla lettera,disattivato ripristino,pulito tutto con ccleaner come scritto in quella guida che mi hai linkato,e ho avviato tutto quello script,per sicurezza l'ho rifatto,ti metto il link,cmq il pc continua ad essere lentissimo purtroppo

http://wikisend.com/download/345590/log3.txt

Dal log non emerge altro, dire che il Pc è lento è un pò troppo generico, la questione forse è riconducibile a software installati di recente che vanno in conflitto, tanto per fare un'ipotesi.

[CliveSt]

Ebbene eccomi qui' anch'io
Perdonatemi se non sono particolarmente felice di partecipare a questa discussione, date le circostanze
Come indicato dal thread starter allego i file log rispettivamente di PREvxCSI
PREvxCSI.txt
e GMER
GMERlog.txt

Riporto il summary di PREvxCSI tanto per comodita'
"ROOTKIT-\\.\PhysicalDrive0\MBR - [512] >> Hidden Disk Sectors
C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe - [b] >> Malicious Software
End of PrevxCSI Log - http://www.prevx.com"


e di GMER
"---- Disk sectors - GMER 1.0.14 ----

Disk \Device\Harddisk0\DR0 sector 00: rootkit-like behavior; MBR rootkit code detected <-- ROOTKIT !!!
Disk \Device\Harddisk0\DR0 sector 10: rootkit-like behavior;
Disk \Device\Harddisk0\DR0 sector 60: rootkit-like behavior;
Disk \Device\Harddisk0\DR0 sector 61: rootkit-like behavior; malicious code @ sector 0x1d1c06c0 size 0x1a8
Disk \Device\Harddisk0\DR0 sector 62: rootkit-like behavior; copy of MBR

---- EOF - GMER 1.0.14 ----"


Da entrambe, nella breve esperienza che mi sono fatto negli ultimi due giorni, emerge che mi sono beccato quel fantastico Rootkit ed il bello é che andavo girando per siti Web aprendo guide online di software per la modifica di sottotitoli per DVD e non sto' scherzando.

Comunque, me ne sono accorto perché scorrendo il menu' relativo alle proprieta' della cartella, oltre ad essere completamente differente rispetto a prima, adesso non ho piu' la voce "mostra file nascosti".

Infine, chicca delle chicce, Explorer é completamente danneggiato. Impossibile la navigazione, a meno di impallare l'intero PC.
La cosa strana é che, tutto il resto funziona perfettamente. Non ho rallentamenti del sistema, l'elenco dei processi attivi mi sembra normalissimo (nessun processo anomalo), posso comunque navigare in piena liberta' adoperando Firefox, la posta Elettronica funziona.
Insomma, solo Explorer é compromesso tutte le altre applicazioni lavorano regolarmente.

Avrei voluto fare tutto da solo ma ho preferito affidarmi a presone piu' competenti tenendo conto che stavolta non si parla di un classico Virus ma di qualcosa che s'é annidato nel Master Boot Sector ed ho una paura fottuta di dare Clean Up a qualsivoglia Tool di rimozione, rischiando al successivo restart, di dover comunque formattare tutto.
Per fortuna C: contiene solo il S.O.

Ringrazio anticipatamente Chill-out per l'eventuale supporto


EDIT: Ah dimenticavo, l'utilita' punto di ripristino é disattivata dalla prima installazione del S.O.

[Gablogan]

Originariamente inviato da Chill-Out

Dal log non emerge altro, dire che il Pc è lento è un pò troppo generico, la questione forse è riconducibile a software installati di recente che vanno in conflitto, tanto per fare un'ipotesi.

Eccomi di nuovo in linea,ho formattato il pc di fresco e devo dire che tutto sembra tornato a posto,nessun rallentamente e pc e internet a posto,meno male,evidentemente aveva proprio bisogni di una formattazione il pc,ti ringrazio comunque tantissimo per la gentiliezza e per tutto il tempo che mia hai dedicato

[Chill-Out]

Originariamente inviato da CliveSt

Ebbene eccomi qui' anch'io
Perdonatemi se non sono particolarmente felice di partecipare a questa discussione, date le circostanze
Come indicato dal thread starter allego i file log rispettivamente di PREvxCSI
PREvxCSI.txt
e GMER
GMERlog.txt

Riporto il summary di PREvxCSI tanto per comodita'
"ROOTKIT-\\.\PhysicalDrive0\MBR - [512] >> Hidden Disk Sectors
C:\Programmi\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe - [b] >> Malicious Software
End of PrevxCSI Log - http://www.prevx.com"


e di GMER
"---- Disk sectors - GMER 1.0.14 ----

Disk \Device\Harddisk0\DR0 sector 00: rootkit-like behavior; MBR rootkit code detected <-- ROOTKIT !!!
Disk \Device\Harddisk0\DR0 sector 10: rootkit-like behavior;
Disk \Device\Harddisk0\DR0 sector 60: rootkit-like behavior;
Disk \Device\Harddisk0\DR0 sector 61: rootkit-like behavior; malicious code @ sector 0x1d1c06c0 size 0x1a8
Disk \Device\Harddisk0\DR0 sector 62: rootkit-like behavior; copy of MBR

---- EOF - GMER 1.0.14 ----"


Da entrambe, nella breve esperienza che mi sono fatto negli ultimi due giorni, emerge che mi sono beccato quel fantastico Rootkit ed il bello é che andavo girando per siti Web aprendo guide online di software per la modifica di sottotitoli per DVD e non sto' scherzando.

Comunque, me ne sono accorto perché scorrendo il menu' relativo alle proprieta' della cartella, oltre ad essere completamente differente rispetto a prima, adesso non ho piu' la voce "mostra file nascosti".

Infine, chicca delle chicce, Explorer é completamente danneggiato. Impossibile la navigazione, a meno di impallare l'intero PC.
La cosa strana é che, tutto il resto funziona perfettamente. Non ho rallentamenti del sistema, l'elenco dei processi attivi mi sembra normalissimo (nessun processo anomalo), posso comunque navigare in piena liberta' adoperando Firefox, la posta Elettronica funziona.
Insomma, solo Explorer é compromesso tutte le altre applicazioni lavorano regolarmente.

Avrei voluto fare tutto da solo ma ho preferito affidarmi a presone piu' competenti tenendo conto che stavolta non si parla di un classico Virus ma di qualcosa che s'é annidato nel Master Boot Sector ed ho una paura fottuta di dare Clean Up a qualsivoglia Tool di rimozione, rischiando al successivo restart, di dover comunque formattare tutto.
Per fortuna C: contiene solo il S.O.

Ringrazio anticipatamente Chill-out per l'eventuale supporto


EDIT: Ah dimenticavo, l'utilita' punto di ripristino é disattivata dalla prima installazione del S.O.

Procedi pure con la :: Seconfa fase :: leggi bene le istruzioni prima di iniziare, come avrai già letto la :: Seconda fase :: è articolata in 3 punti quindi i log da produrre sono 3, inoltre presta attenzione al comando del punto 2

Ciao

[Chill-Out]

Originariamente inviato da Gablogan

Eccomi di nuovo in linea,ho formattato il pc di fresco e devo dire che tutto sembra tornato a posto,nessun rallentamente e pc e internet a posto,meno male,evidentemente aveva proprio bisogni di una formattazione il pc,ti ringrazio comunque tantissimo per la gentiliezza e per tutto il tempo che mia hai dedicato

Di nulla figurati

[aboccia69]

allora ho approfittato della mattinata libera per dedicarmici, ho segiuto alla lettera le istruzioni della fase due, ma -ahimè- se ho capito bene l'infezione non è stata debellata.. ..allego i log prodotti... Aggiungo che fixmebroot immediatamente dopo l'avvio della scansione mi dice di riavviare il pc, alla successiva scansione la cosa si ripete, comunque nei credo sia tutto specificato... ...c'è qualche altra cosa che possa fare o devo formattare? Grazie mille...

EDIT: non accetta più di tre allagati, parcheggio qui il log di mebroot:

Symantec Trojan.Mebroot Removal Tool 1.0.1
Found drive \\.\PhysicalDrive0, analyzing MBR...
Found drive \\.\PhysicalDrive1, analyzing MBR...
Creating FixMebroot service driver
Running driver...
Trojan.Mebroot has not been found active on your computer.
Delete service driver
Delete driver file
End


The tool initiated a system reboot.

edit bis: ma che mbr non ha funioznato bene... perchè.. i log prodotti sono stati identici, in effetti ad agni digitazione della stringa di comano in strart--->esegui si apriva la maschera tipica di windows "vuoi eseguire il file mbr-exe"... ...quindi il comando mbr.exe -f non ha fatto nulla?

[CliveSt]

Ah eehm avrei un problema
Non mi parte la modalita' provvisoria Ho provato sia a dare Modalita' Provvisoria che Modalita' Provvisoria con Prompt dei Comandi ma nisba
Inizia a caricare i vari driver & Co. dopodiché parte per un nanosecondo la crashata blue e si riavvia

EDIT: Ho letto di un utente che é riuscito a rimuovere il Rootkit eseguendo semplicemente il tool Dr. Web, si puo' fare comunque?

[Chill-Out]

Originariamente inviato da aboccia69

allora ho approfittato della mattinata libera per dedicarmici, ho segiuto alla lettera le istruzioni della fase due, ma -ahimè- se ho capito bene l'infezione non è stata debellata.. ..allego i log prodotti... Aggiungo che fixmebroot immediatamente dopo l'avvio della scansione mi dice di riavviare il pc, alla successiva scansione la cosa si ripete, comunque nei credo sia tutto specificato... ...c'è qualche altra cosa che possa fare o devo formattare? Grazie mille...

EDIT: non accetta più di tre allagati, parcheggio qui il log di mebroot:

Symantec Trojan.Mebroot Removal Tool 1.0.1
Found drive \\.\PhysicalDrive0, analyzing MBR...
Found drive \\.\PhysicalDrive1, analyzing MBR...
Creating FixMebroot service driver
Running driver...
Trojan.Mebroot has not been found active on your computer.
Delete service driver
Delete driver file
End


The tool initiated a system reboot.

edit bis: ma che mbr non ha funioznato bene... perchè.. i log prodotti sono stati identici, in effetti ad agni digitazione della stringa di comano in strart--->esegui si apriva la maschera tipica di windows "vuoi eseguire il file mbr-exe"... ...quindi il comando mbr.exe -f non ha fatto nulla?

Allega un nuovo log di Gmer e Prevx CSI seguente le istruzioni in Guida

[Chill-Out]

Originariamente inviato da CliveSt

Ah eehm avrei un problema
Non mi parte la modalita' provvisoria Ho provato sia a dare Modalita' Provvisoria che Modalita' Provvisoria con Prompt dei Comandi ma nisba
Inizia a caricare i vari driver & Co. dopodiché parte per un nanosecondo la crashata blue e si riavvia

EDIT: Ho letto di un utente che é riuscito a rimuovere il Rootkit eseguendo semplicemente il tool Dr. Web, si puo' fare comunque?

Prima allega un log di Gmer

[aboccia69]

ti ringrazione della diponibilità Chill-Out

allora

CSI ---> system clear

e gmer come da allegato

[Chill-Out]

Originariamente inviato da aboccia69

ti ringrazione della diponibilità Chill-Out

allora

CSI ---> system clear

e gmer come da allegato

Sei pulito procedi con le scansioni di controllo

[aboccia69]

aspita... ..sono contento, allora il log di csi+the result scan online è http://csia0.prevx.com/individualcsi...SIPLUS&CMD=LSR mentre invece la scansione concure it dapprima mi ha fatto riavviare, poi alla seconda non ha trovato nulla, anche la fase "completa scansione" è uscito tutto pulito, evito di allegare il log risultante, sia perchè è di oltre due mega, poi per non tediarne alcuno con una lettura di status ok ecc. ecc... ..(comunque se serve sono ovviamente disponibilissimo alla pubblicazione)...

..ti ringrazio ancora...

[Chill-Out]

Originariamente inviato da aboccia69

aspita... ..sono contento, allora il log di csi+the result scan online è http://csia0.prevx.com/individualcsi...SIPLUS&CMD=LSR mentre invece la scansione concure it dapprima mi ha fatto riavviare, poi alla seconda non ha trovato nulla, anche la fase "completa scansione" è uscito tutto pulito, evito di allegare il log risultante, sia perchè è di oltre due mega, poi per non tediarne alcuno con una lettura di status ok ecc. ecc... ..(comunque se serve sono ovviamente disponibilissimo alla pubblicazione)...

..ti ringrazio ancora...

Prego

[CliveSt]

Niente sono stato costretto a formattare C: perche' nel tentativo di far partire il sistema in modalita' provvisoria, come un idiota, ho innescato un loop al riavvio per cui come cercava di entrare in safe mode, crashava, restartava, ritentava il safe mode e l'anello ripartiva. Tutto questo perche' con l'msconfig ho spuntato sulla finestra BOOT.INI la modalita' safe mode /minimal. Bella vaccata, lo riconosco.

Una domanda, fermo restando che come torno online (adesso sono sul computer dell'ufficio ) posto immediatamente le scansioni con tutti e due i programmi di diagnostica PREvxCSI e GMER, la formattazione completa all'atto di installare Win XP e' di basso livello? Ovvero, avra' "arato" il Master Boot Sector?
Perche' adesso, il menu' di proprieta' delle Cartelle e' regolare, cosi' come Explorer funziona senza crash.
C'ho aperto i file di guida di alcuni driver che stavo installando ed e' partito senza alcun problema mentre prima era sufficiente anche solo il doppio-clic sull'icona di Explorer che come si apriva, crashava di brutto

EDIT: Allora, ieri ho rifatto la scansione con GMER e mi segnala solo il dannatissimo
malicious code @ sector 0x1d1c06c0 size 0x1a8 !
copy of MBR has been found in sector 62 !

Ho potuto finalmente eseguire tutta la procedura FASE DUE e FASE TRE, ed ecco i risultati (chiedo scusa sin da subito ma dal lavoro non posso andare sui siti di Uploading):

MBR1

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x1d1c06c0 size 0x1a8 !
copy of MBR has been found in sector 62 !

MBR2

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x1d1c06c0 size 0x1a8 !
copy of MBR has been found in sector 62 !

MBR3

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
malicious code @ sector 0x1d1c06c0 size 0x1a8 !
copy of MBR has been found in sector 62 !

Inoltre ho eseguito il tool Symantec come da guida:

Symantec Trojan.Mebroot Removal Tool 1.0.2
Found drive \\.\PhysicalDrive0, analyzing MBR...
Found drive \\.\PhysicalDrive1, analyzing MBR...
Found drive \\.\PhysicalDrive2, analyzing MBR...
Creating FixMebroot service driver
Running driver...
Trojan.Mebroot has not been found active on your computer.
Delete service driver
Delete driver file
End

Infine DrWEB (solo le parti significative)

DwShield avviato
Versione Engine: 4.44 (4.44.0.09170)
Versione API dell'Engine: 2.02
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\367af3d0 - 1760 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\25f75c88 - 2545 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\67bba19c - 2410 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\5279b88f - 4202 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\7d915d0b - 5939 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\b4dab2fd - 1088 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\789dcc86 - 1646 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\fd6ae82e - 3574 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\378e7152 - 5179 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\20a76445 - 2885 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\9e3e2cf8 - 5080 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\ca7844fc - 16365 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\d9af0feb - 13612 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\0bdf4fef - 1725 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\67dd5b52 - 4099 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\e43351b9 - 1319 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\20da76ce - 3709 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\1e6189b4 - 6097 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\82e329cf - 1097 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\320e0c77 - 3605 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\b234a0ba - 7770 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\9c8cac22 - 4210 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\df8a8cc3 - 1010 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\e3aaa05d - 421 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\0ca69186 - 1306 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\7efcbbf1 - 1234 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\9086c7f4 - 1238 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\3d93084f - 4406 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\4f931a64 - 7847 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\ee7ce634 - 6014 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\5b8d9742 - 804 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\7c0b38da - 5020 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\c3b94038 - 1565 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\89d990f5 - 1582 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\f0977889 - 1131 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\733e885e - 2303 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\ba5cdecb - 3904 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\c07e190c - 2456 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\ce90d6e1 - 4411 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\87d1ac70 - 1311 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\b29a39b1 - 2486 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\8d282873 - 4462 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\dab17405 - 94 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\05388333 - 557 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\9c3562d4 - 945 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\03b0fe6b - 209466 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\49f58872 - 149 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\a37fe43e - 679 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\6f652654 - 652 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\a764482c - 999 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\2b116fb3 - 1211 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\6e645a99 - 814 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\5585b283 - 698 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\27402039 - 2747 virus records
[Virus base] C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\12e57a47 - 13534 virus records
Totale virus records: 387372
C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\setup.exe compresso da BINARYRES
....
Processi in memoria: System:4 - Ok
Processi in memoria: C:\WINDOWS\Explorer.EXE:260 - Ok
Processi in memoria: C:\WINDOWS\RTHDCPL.EXE:372 - Ok
Processi in memoria: C:\Programmi\Microsoft IntelliPoint\ipoint.exe:392 - Ok
Processi in memoria: C:\WINDOWS\system32\RUNDLL32.EXE:448 - Ok
Processi in memoria: C:\WINDOWS\system32\ctfmon.exe:456 - Ok
Processi in memoria: C:\Programmi\PrevxCSI\prevxcsi.exe:556 - Ok
Processi in memoria: C:\WINDOWS\system32\nvsvc32.exe:612 - Ok
Processi in memoria: C:\Programmi\PrevxCSI\prevxcsi.exe:656 - Ok
Processi in memoria: \SystemRoot\System32\smss.exe:804 - Ok
Processi in memoria: \??\C:\WINDOWS\system32\csrss.exe:868 - Ok
Processi in memoria: \??\C:\WINDOWS\system32\winlogon.exe:892 - Ok
Processi in memoria: C:\WINDOWS\system32\services.exe:936 - Ok
Processi in memoria: C:\WINDOWS\system32\lsass.exe:948 - Ok
Processi in memoria: C:\WINDOWS\system32\svchost.exe:1120 - Ok
Processi in memoria: C:\WINDOWS\system32\svchost.exe:1188 - Ok
Processi in memoria: C:\WINDOWS\System32\alg.exe:1228 - Ok
Processi in memoria: C:\WINDOWS\System32\svchost.exe:1436 - Ok
Processi in memoria: C:\WINDOWS\system32\svchost.exe:1564 - Ok
Processi in memoria: C:\WINDOWS\system32\wuauclt.exe:1628 - Ok
Processi in memoria: C:\WINDOWS\system32\svchost.exe:1692 - Ok
Processi in memoria: C:\Documents and Settings\xxxxxx\Desktop\cureitDrWEB.exe:1812 - Ok
Processi in memoria: C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\_start.exe:1816 - Ok
Processi in memoria: C:\WINDOWS\system32\spoolsv.exe:1888 - Ok
Processi in memoria: C:\DOCUME~1\xxxxxx\IMPOST~1\Temp\RarSFX0\setup.exe:1916 - Ok
[Memory test] Nessun virus trovato
Master Boot Record HDD1 - Ok
Active OS/2 or WinNT Boot Sector HDD1 - Ok
Master Boot Record HDD2 - Ok
OS/2 or WinNT Boot Sector HDD2 - Ok
Master Boot Record HDD3 - Ok
...

-----------------------------------------------------------------------------
Statistiche delle Scansioni
-----------------------------------------------------------------------------
Oggetti controllati: 982
Trovati oggetti Infetti: 0
Trovato Oggetti modificati: 0
Trovato oggetti Sospetti: 0
Trovato Adware: 0
Trovato Dialer: 0
Trovato Joke: 0
Trovato Riskware: 0
Trovato Hacktool: 0
Oggetti curati: 0
Oggetti cancellati: 0
Oggetti rinominati: 0
Oggetti spostati: 0
Oggetti ignorati: 0
Velocità di scansione: 9495 Kb/s
Durata scansione: 00:00:15
-----------------------------------------------------------------------------

Master Boot Record HDD1 - Ok
Active OS/2 or WinNT Boot Sector HDD1 - Ok
Master Boot Record HDD2 - Ok
OS/2 or WinNT Boot Sector HDD2 - Ok
Master Boot Record HDD3 - Ok

A me sembra che la parte "attiva" di quel dannato Rootkit, sia stata eliminata con la passata che diedi mediante DrWEB, prima di fare quel casino con la modalita' provvisoria. Adesso i vari tool non vedono piu' l'MBR corrotto ma rivelano un residuo di codice (probabilmente inerte?) del Rootkit che se ne sta' li buonino senza creare danni.

Puo' essere cosi'? Il punto e' che tutto funziona bene, anche se sono con la configurazione base ovvero WinXP + SP2 appena installato e configurato, driver fondamentali, NO connessione Internet.
Chill-out che ne dici?

Credo che mi giochero' l'ultima carta. Provero' a fixare l'MBR mediante il ripristino configurazione all'installazione di Windows, non vedo altre possibilita' per togliere quella stringa al settore 62

[Chill-Out]

Originariamente inviato da CliveSt

Niente sono stato costretto a formattare C: perche' nel tentativo di far partire il sistema in modalita' provvisoria, come un idiota, ho innescato un loop al riavvio per cui come cercava di entrare in safe mode, crashava, restartava, ritentava il safe mode e l'anello ripartiva. Tutto questo perche' con l'msconfig ho spuntato sulla finestra BOOT.INI la modalita' safe mode /minimal. Bella vaccata, lo riconosco.

Una domanda, fermo restando che come torno online (adesso sono sul computer dell'ufficio ) posto immediatamente le scansioni con tutti e due i programmi di diagnostica PREvxCSI e GMER, la formattazione completa all'atto di installare Win XP e' di basso livello? Ovvero, avra' "arato" il Master Boot Sector?
Perche' adesso, il menu' di proprieta' delle Cartelle e' regolare, cosi' come Explorer funziona senza crash.
C'ho aperto i file di guida di alcuni driver che stavo installando ed e' partito senza alcun problema mentre prima era sufficiente anche solo il doppio-clic sull'icona di Explorer che come si apriva, crashava di brutto

Se formatti a basso livello come dici tu ari tutto

[thema2000]

Salve a tutti , mi unisco alla discussione contividendo il mio grosso problema e sperando che qualche "dio" tra di voi riesca a salvarmi da questo peccato!!!


dunque, io ho bisogno una grande mano, poiche premetto che di forum e di pc non ne capisco molto, e dico che leggendo le pagine arretrate, non riuscivo a capire che combinavate e non avevo la piu pallida idea di cosa bisogna fare...

potete giudarmi passo a passo visto questa mia incompetenza in materia??

Putroppo il danno che ho avuto è molto grave... 1 hdd 80gb sataII 32mb cache infetto, 1 hdd 700gb sataII 32mb cache infetto, 1hdd 320gb ide infetto e per finire 1 hdd 160gb ide infetto...

come antivirus monto nod32.. e mi dice che il disco fisico contiene cavallo di troia mebroot.K.

ho formattato tutto, ma è ritornato fuori...

Help mee!!!

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Leggi le regole di sezione e poi segui il primo post di questa discussione.