Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da frogger

sto ripulendo il pc di un amico e penso di essere nella stessa situazione di neofito
in attesa che drweb finisca la scansione completa mi preoccupa la voce di mbr rootkit sul codice maligno ancora nel mbr (ho fatto un paio di volte l'mbrfix dalla console di ripristino)

può essere che drweb sia un pelo troppo aggressivo?
possibile che abbia trovato un trojan nell'installer di una vecchia versione di spywareblaster?

ma la cosa che mi preoccupa di più e come sto pc si sia infettato in questa maniera... antivir è stato inutile
che dite posso rimuovere da questo pc spybot? a me sembra tanto inutile.. personalmente non m'ha mai aiutato quando c'erano problemi su pc infetti

ps.
anche qui c'è l'account helpassistant
la devo rimuovere?

E' necessario vedere il log, esattamente come indicato in Guida.

[wukassa]

ciao wjmat,
grazie per il controllo dei log.

Originariamente inviato da wjmat

fai la scansione con cureit che trovi nella 3° fase

purtroppo quando faccio partire la scansione mi si riavvia il pc. provo a fare la scansione in modalità provvisoria?

Originariamente inviato da wjmat

fai controllare su www.virustotal.com e su http://virscan.org/

c:\windows\downloaded program files\iphonactrl.dll

l'ho già eliminato. gestiva un applicazione per contattare l'inps mi pare.

[frogger]

come dicevo prima il log è molto simile a neofito

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0BA50E41
malicious code @ sector 0x0BA50E44 !
PE file found in sector at 0x0BA50E5A !

prima che facessi il fixmbr combofix rilevava questo
ora non rileva più niente però

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe catchme.sys CLASSPNP.SYS disk.sys >>UNKNOWN [0x823DAB00]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\atapi -> 0x823dab00
NDIS: WLAN Broadcom 802.11b/g -> SendCompleteHandler -> 0x82417200
Warning: possible MBR rootkit infection !
user & kernel MBR OK
Use "Recovery Console" command "fixmbr" to clear infection !

prevx ha trovato una minaccia che nella versione free non ripuliva
ecco il link virustotal
a me non sembra niente di che (tanto il lightscribe manco sa cos'è il proprietario.. glielo rimuoverei volentieri)

ora riprovo a fare sto benedetto log con gmer che è la terza volta che va in bsod

ma penso il pc sia pulito... resta solo quella cosina nell'mbr
e il fatto che questo notebook sia stupidamente lento... mai formattato in 5 anni.. ci sta

grazie cmq per l'aiuto (la guida è fenomenale)

[Chill-Out]

Cortesemente, allega su uno dei Server Remoti indicati in Guida il log di Gmer ed il log di Prevx.

[frogger]

Originariamente inviato da Chill-Out

Cortesemente, allega su uno dei Server Remoti indicati in Guida il log di Gmer ed il log di Prevx.

scusa se ti rompo
gmer devo fargli anche la scansione dei files?
l'unica volta che lo feci ci mise tanto..tipo 3 ore
e visto che il sistema va in bsod non so se riuscirò a finire sto scan
eccolo (niente schermata blu sto giro )
il file che rileva come rootkit è un componente lasciato da prevx o sbaglio?

prevx non mi faceva pulire il file in quanto free edition.. il tasto tools non era disponibile
sul mio pc invece ho potuto salvare il log visto che era pulito e usciva dalla schermata di scansione dove c'era l'opzione per salvare il log

grazie della pazienza
visto che non è crashato ora faccio lo scan di gmer completo

ps. c'è sempre questa cartella account helpassistant di 1.4gb.. molto sospetta
è xp home.. non vedo questo account e contiene doppioni di file dell'account principale (questo forse spiega la continua attività dell'hd quando il mbr era infetto)

[wjmat]

Originariamente inviato da wukassa

ciao wjmat,
grazie per il controllo dei log.



purtroppo quando faccio partire la scansione mi si riavvia il pc. provo a fare la scansione in modalità provvisoria?



l'ho già eliminato. gestiva un applicazione per contattare l'inps mi pare.

prova da mod. provvisoria

[SCHUMINO]

Originariamente inviato da wjmat

i keygen vanno eliminati sempre altrimenti l'assistenza finisce qui

Pulito da tutte le zozzerie! Grazie a tutti per i consigli e complimenti per il forum sempre più aggiornato ed utile. Se vi conoscessi una bella birrozza ve la meritereste!

Da questa esperienza, nata perché il pc aveva la lucina dell'hd ssempre accesa e non mi permetteva alcuna operazione in tempi "normali", ho imparato che non ci si può fidare di un solo antivirus e che non sempre bastano solo quelli!

I tempi per ripulire il computer sono superiori a quelli per formattare tutto e ripartire. La prossima volta ci rifletto sopra su cosa conviene fare.

Inoltre mi restano alcuni problemi, penso dovuti ai vermetti spazzati via:
attaccando penne usb o stampanti o altre periferiche usb, non mi compare più l'icona nella barra delle applicazioni per la rimozione sicura.
E' successo anche a voi?

[wjmat]

Originariamente inviato da SCHUMINO

Pulito da tutte le zozzerie! Grazie a tutti per i consigli e complimenti per il forum sempre più aggiornato ed utile. Se vi conoscessi una bella birrozza ve la meritereste!

di nulla

Da questa esperienza, nata perché il pc aveva la lucina dell'hd ssempre accesa e non mi permetteva alcuna operazione in tempi "normali", ho imparato che non ci si può fidare di un solo antivirus e che non sempre bastano solo quelli!

già

I tempi per ripulire il computer sono superiori a quelli per formattare tutto e ripartire. La prossima volta ci rifletto sopra su cosa conviene fare.

non è detto che sia sempre più lunga la procedura

Inoltre mi restano alcuni problemi, penso dovuti ai vermetti spazzati via:
attaccando penne usb o stampanti o altre periferiche usb, non mi compare più l'icona nella barra delle applicazioni per la rimozione sicura.
E' successo anche a voi?

per questo chiedi nella sezione di windows

[Arcangelo_88]

salve a tutti....allora io ho riscontrato questo problema!Ho iniziato con la fase 1 e nello scan di prevx sembra ke nn abbia rilevato nulla x sicurezza posto il link
http://wikisend.com/download/476842/pre log.log PREVX

Per quanto riguarda GMER a scansione fatta questo è il log:
http://wikisend.com/download/886010/gmer log.log
in questo caso ce qualkosa ke nn mi convince ma nn so con sicurezza, aspetto vostre notizie su come procedere.Grazie

[frogger]

Originariamente inviato da SCHUMINO

Da questa esperienza, nata perché il pc aveva la lucina dell'hd ssempre accesa e non mi permetteva alcuna operazione in tempi "normali"

una domanda visto che anche il pc che sto controllando io aveva lo stesso problema con l'hd
non è che in document and settings hai una cartella helpassistant?

[wukassa]

Originariamente inviato da wjmat

prova da mod. provvisoria

Niente. Si riavvia appena faccio partire la scansione.
Ti viene in mente qualcos'altro che possa fare?

[Chill-Out]

Originariamente inviato da frogger

scusa se ti rompo
gmer devo fargli anche la scansione dei files?
l'unica volta che lo feci ci mise tanto..tipo 3 ore
e visto che il sistema va in bsod non so se riuscirò a finire sto scan
eccolo (niente schermata blu sto giro )
il file che rileva come rootkit è un componente lasciato da prevx o sbaglio?

prevx non mi faceva pulire il file in quanto free edition.. il tasto tools non era disponibile
sul mio pc invece ho potuto salvare il log visto che era pulito e usciva dalla schermata di scansione dove c'era l'opzione per salvare il log

grazie della pazienza
visto che non è crashato ora faccio lo scan di gmer completo

ps. c'è sempre questa cartella account helpassistant di 1.4gb.. molto sospetta
è xp home.. non vedo questo account e contiene doppioni di file dell'account principale (questo forse spiega la continua attività dell'hd quando il mbr era infetto)

Attendo sempre i log di Gmer e Prevx, successivamente affrontiamo tutti i problemi

Si, trattasi di Prevx

Library C:\WINDOWS\system32\PxSecure.dll (*** hidden *** ) @ C:\WINDOWS\Explorer.EXE [1708] 0x00F70000

[Chill-Out]

Originariamente inviato da Arcangelo_88

salve a tutti....allora io ho riscontrato questo problema!Ho iniziato con la fase 1 e nello scan di prevx sembra ke nn abbia rilevato nulla x sicurezza posto il link
http://wikisend.com/download/476842/pre log.log PREVX

Per quanto riguarda GMER a scansione fatta questo è il log:
http://wikisend.com/download/886010/gmer log.log
in questo caso ce qualkosa ke nn mi convince ma nn so con sicurezza, aspetto vostre notizie su come procedere.Grazie

Non emergono tracce del MBR Rootkit

[wjmat]

Originariamente inviato da wukassa

Niente. Si riavvia appena faccio partire la scansione.
Ti viene in mente qualcos'altro che possa fare?

carica solo un nuovo log di prevx per il momento

[frogger]

Originariamente inviato da Chill-Out

Attendo sempre i log di Gmer e Prevx, successivamente affrontiamo tutti i problemi

ho lasciato gmer a fare lo scan completo... mi sono assentato mezzora (dopo che era 3 ore a scansionare i vari file)
era entrato in standby e non ne usciva più.. spento brutalmente
niente log completo quindi

in prevx ho fatto la prima scansione e gli ho detto di ignorare la dll del programma di lighscribe
alla scansione successiva ho potuto salvare questo log che mi pare pulito

resta sempre il codice maligno nel mbr secondo Stealth MBR rootkit detector

il pc penso che glielo formatterò
il mbr viene resettato in caso di format completo giusto?

in ogni caso grazie

[Chill-Out]

Originariamente inviato da frogger

ho lasciato gmer a fare lo scan completo... mi sono assentato mezzora (dopo che era 3 ore a scansionare i vari file)
era entrato in standby e non ne usciva più.. spento brutalmente
niente log completo quindi

in prevx ho fatto la prima scansione e gli ho detto di ignorare la dll del programma di lighscribe
alla scansione successiva ho potuto salvare questo log che mi pare pulito

resta sempre il codice maligno nel mbr secondo Stealth MBR rootkit detector

il pc penso che glielo formatterò
il mbr viene resettato in caso di format completo giusto?

in ogni caso grazie

Formattando a basso livello, ciao.

[wukassa]

Originariamente inviato da wjmat

carica solo un nuovo log di prevx per il momento

eccolo

http://wikisend.com/download/575998/prevx2.txt

Grazie!

[Mr.Buck]

Salve,

innanzitutto complimenti per il servizio utilissimo che date, siete veramente eccezionali

Circa un mese fa mi accorgo che di punto in bianco il computer (un portatile vaio) da di matto. Non va piu niente, tutto si blocca.
Oramai disperato (stavo per andare a cambiare la scheda madre!) aggiorno Avira che mi da il messaggio del virus rootkit, il famigerato BOO/Sinowal.E.
Trovo questa immensa guida, faccio partire Prevx che immediatamente trova il virus e riesco ad eliminarlo. Il computer si riprende. Esulto.....per poco .
Il computer in effetti si è ripreso ma a cadenza costante l'hard disk inizia a dare dei tichettii costanti, insomma capisco che qualcosa li dentro duole ancora .

Riscansione tutto con Avira aggiornato che mi ritrova lo stesso rootkit nell'altra partizione dell'HD principale D: (credo di comprendere dal log) e su entrambe le partizione del secondo HD sempre presente nel portatile H:, I:

Prevx, essendo la versione free lavora solo su C: e infatti dal log (che vi allego) non risulta nulla.

Per precisione Avira trova nel "record master di avvio" il virus in Hard Disk 1 (sarebbe?) e poi lo trova nei "record di avvio" in H: e I: avvisandomi che "il record non è stato scritto!"

Come da vostra indiczione sono ripartito con Prevx (che non mi ha trovato niente) e con Gmer (non capisco se ha trovato qualcosa)

Prima di passare all fase 2 vi posto i log.
Ancora Grazie

Avira Log http://wikisend.com/download/485008/

Prevx Log http://wikisend.com/download/556748/

Gmer Log http://wikisend.com/download/933212/

[wjmat]

Originariamente inviato da wukassa

eccolo

http://wikisend.com/download/575998/prevx2.txt

Grazie!

il log è pulito
non so da dove avevi diagnosticato l'infezione...

[Arcangelo_88]

Originariamente inviato da Chill-Out

Non emergono tracce del MBR Rootkit

Ah ho capito e quindi secondo te da cosa potrebbe dipendere il problema?probabilmente già lo sai ma praticamente nn riesco ad entrare su msn xkè mi da l'errore di platform e mi rallenta anke internet...navigando ho riscontrato ke questi problemi erano dovuti al MBR ROOTKIT.
In pratica l'esecuzione del programma va in contrasto con un file chiamato ntdll.dll, e che in base a questo file sono risalito a questo scontro dovuto dal rootkit.Non ci capisco più niente uff...