Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da flashe

sotto segnalazione di gabryflash lo posto anche qui:

Mi è capitato un problema un po strano. Ultimamente ho visto un paio di pc con il rootkit MBR "helpassistant" ..... e quando ho visto questo, pensavo fosse la solita solfa.... invece no.
Questo pc non si avvia, si blocca immediatamente dopo il bios boot, schermo nero e pc freezato.

Ho provato ad accedere in consolle di ripristino, e ho tentato di fixare l'MBR. E' stata trovata corrotta, come nel caso del rootkit di cui sopra. Provo a riavviare, rientro in consolle e faccio un chkdsk. Penso che è fatta, riavvio la macchina... e il caricamento di windows si ferma lamentando l'assenza di qualche file dentro la cartella di sistema.

Torno in consolle.... faccio per digitare cd windows... e ottengo accesso negato.

Ho tentato il comando SET (allowallpath) ... ma è impostato su FALSE e non riesco a impostarlo TRUE ... (per farlo dovrei, da windows, abilitare lo snap-in ecc ecc bla bla bla..... ma come faccio se non si avvia windows?)

Segnalo inoltre che tutte le volte che sono entrato in consolle di ripristino da questa macchina.... non mi è MAI stato chiesto a quale installazione di win volessi accedere.

Idee?

grazie

ps... collegare il disco ad un altro pc e da windows riassegnare i permessi?

In questo caso credo sia più opportuno chidere in Sezione Microsoft Windows

[Chill-Out]

Originariamente inviato da g_u_e_s_s

ok!
ecco qui il log.....i malware sembrano aumentare....
prevx_3.txt

Ho usato anche Spybot S&D e Malware Bytes, ma non hanno trovato nulla!
Rispetto all'altra volta mi semrba che i file infetti siano altri!!
grazie ancora per il supporto!!!!!!!!

1 Abilita la visualizzazione dei files nascosti

Clicca su una cartella qualsiasi Strumenti - Opzioni cartella - Visualizzazione - metti il segno di spunta su Visualizza cartelle e file nascosti - Togli la spunta da nascondi files protetti di sistema - Applica - OK

e controlla su http://virscan.org/ e http://www.virustotal.com/it/ il seguenti file:

ntcmd_int.dll che trovi in c:\windows\system32\

per i risultati e sufficiente riportare nel prossimo post l'URL rilasciata a fine scansione

2 Disinstalla i seguenti software:

boilsoft video splitter
error repair professional
fontviewer


Al termine allega nuovo log di Prevx

[Chill-Out]

Originariamente inviato da nicoct

senti sto impazzendo:
allora il file prevx non me lo fa allegare; in più l opzione del clean dello stesso programma mi richiede una licenza che è a pagamento;
sono andato avanti con la tua guida;
ti posto ora i file di mbr edi normal cleaner

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
copy of MBR has been found in sector 0x012A14C00
malicious code @ sector 0x012A14C03 !
PE file found in sector at 0x012A14C19 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.


Norman SinowalMBR Cleaner
Copyright © 1990 - 2008, Norman ASA. Built 2008/05/13 16:21:18

Norman Scanner Engine Version: 5.92.04
Nvcbin.def Version: 5.92.00, Date: 2008/05/13 16:21:18, Variants: 0

Running pre-scan cleanup routine:
Operating System: Microsoft Windows XP Home 5.1.2600 Service Pack 3
Logged on user: PC-NICO\nico


Scan started: 07/11/2009 16:42:07

Scanning bootsectors...

No SinowalMBR hooks found

Number of sectors found: 1
Number of sectors scanned: 1
Number of sectors not scanned: 0
Number of infections found: 0
Number of infections removed: 0
Total scanning time: 1s 422ms


Scanning running processes and process memory...

Number of processes/threads found: 1803
Number of processes/threads scanned: 1803
Number of processes/threads not scanned: 0
Number of infected processes/threads terminated: 0
Total scanning time: 33s


Scanning file system...

Scanning: C:\*.*

C:\Documents and Settings\HelpAssistant\Impostazioni locali\Dati applicazioni\Mozilla\Firefox\Profiles\ikutpm6l.default\Cache\8B615746d01/unknown0 (Error whilst scanning file: I/O Error)

C:\Documents and Settings\HelpAssistant\Impostazioni locali\Temporary Internet Files\Content.IE5\9S1ON17J\ivdf_fusebundle_nt_en[1].zip/aebb.dll (Error whilst scanning file: I/O Error)


Running post-scan cleanup routine:

Number of files found: 78740
Number of archives unpacked: 493
Number of files scanned: 78611
Number of files not scanned: 129
Number of files skipped due to exclude list: 0
Number of infected files found: 0
Number of infected files repaired/deleted: 0
Number of infections removed: 0
Total scanning time: 31m 58s

avevo provato anche a fare l ultimo programma il cureit doctor ma niente da fare mi fa riavviare il pc;adesso sono nelle tue mani;
NB: mi scuso per non aver allegato ma mi sa o che sono totalmente incapace o mi è impazzito il pc; dopo 10 tentativi non me li fa inviare

http://www.mediafire.com/logrichiesti

L'hai fatto questo passaggio

Stealth MBR rootkit detector
Compatibile: Windows XP - Vista
Caratteristiche: non necessita di installazione
Scaricate MBR:EXE sul DeskTop e mettetelo direttamente nella Directory C:\
Riavviate il Pc in modalità provvisoria F8
Da Start - Esegui - digitate C:\mbr.exe -f e cliccate su OK
Salvate il log prodotto come MBR ed allegatelo per il controllo

[flashe]

Originariamente inviato da Chill-Out

In questo caso credo sia più opportuno chidere in Sezione Microsoft Windows

ma che vengo rimbalzato a destra e a sinistra?

http://www.hwupgrade.it/forum/showth...8#post29609758

facciamo così, formatto a basso livello, e risolvo il problema. Grazie lo stesso...

[Chill-Out]

Originariamente inviato da flashe

ma che vengo rimbalzato a destra e a sinistra?

facciamo così, formatto a basso livello, e risolvo il problema. Grazie lo stesso...

No, non vieni rimbalzato nel tuo caso non ha senso seguire la Guida per la rimozione del MBR Rootkit, non sappiamo se si tratta del Rootkit in questione e non riesci ad accedere al SO.

[nicoct]

L'hai fatto questo passaggio


Quote:
Stealth MBR rootkit detector
Compatibile: Windows XP - Vista
Caratteristiche: non necessita di installazione
Scaricate MBR:EXE sul DeskTop e mettetelo direttamente nella Directory C:\
Riavviate il Pc in modalità provvisoria F8
Da Start - Esegui - digitate C:\mbr.exe -f e cliccate su OK
Salvate il log prodotto come MBR ed allegatelo per il controllo

si ho seguito la guida ho scaricato mbr sul desktop;
poi l ho inserito in c e in modalità provvisoria l ho fatto eseguire; ho messo il log qui in allegato;

[Chill-Out]

Originariamente inviato da nicoct

L'hai fatto questo passaggio


Quote:
Stealth MBR rootkit detector
Compatibile: Windows XP - Vista
Caratteristiche: non necessita di installazione
Scaricate MBR:EXE sul DeskTop e mettetelo direttamente nella Directory C:\
Riavviate il Pc in modalità provvisoria F8
Da Start - Esegui - digitate C:\mbr.exe -f e cliccate su OK
Salvate il log prodotto come MBR ed allegatelo per il controllo

si ho seguito la guida ho scaricato mbr sul desktop;
poi l ho inserito in c e in modalità provvisoria l ho fatto eseguire; ho messo il log qui in allegato;

Gentilmente ripeti il passaggio ed allega il log, il comando è il seguente:

Da Start - Esegui - digitate C:\mbr.exe -f

[nicoct]

ok ti ringrazio tanto per la pasienza che hai con me....
e mi scuso per il disturbo..
ho messo mbr in c:
avviato in modalità provvisoria e da start esegui ho fatto la scansione richiesta....
ora ti invio il log
http://www.mediafire.com/file/mtndi5mwlw0/mbr.log
NB: quando ho fatto l eseguibile è partito ed in una frazione di secondo si è concluso e mi ha dato il log che adesso ti invio; è crretta la procedura?

[Chill-Out]

Originariamente inviato da nicoct

ok ti ringrazio tanto per la pasienza che hai con me....
e mi scuso per il disturbo..
ho messo mbr in c:
avviato in modalità provvisoria e da start esegui ho fatto la scansione richiesta....
ora ti invio il log
http://www.mediafire.com/file/mtndi5mwlw0/mbr.log
NB: quando ho fatto l eseguibile è partito ed in una frazione di secondo si è concluso e mi ha dato il log che adesso ti invio; è crretta la procedura?

Adesso è ok, produci log relativo alla scansione con CureIt.

[nicoct]

ok...ho fatto la scandsione con cureit....allora ha trovato un virus infetto in
hutck8.dll che ho spostato in quarantena come diceva la guida tua.....adesso ti allego il file
http://www.mediafire.com/file/m02ohjjyz2e/CureIt.log
aspetto tue notizie...
nb: ma invece scusami le domande ...
ma il resto dei log degli altri programmi come andava??

[Chill-Out]

Originariamente inviato da nicoct

ok...ho fatto la scandsione con cureit....allora ha trovato un virus infetto in
hutck8.dll che ho spostato in quarantena come diceva la guida tua.....adesso ti allego il file
http://www.mediafire.com/file/m02ohjjyz2e/CureIt.log
aspetto tue notizie...
nb: ma invece scusami le domande ...
ma il resto dei log degli altri programmi come andava??

Estratto dal lo di CureIt

C:\hutck8.dll infettato da Trojan.Packed.680 - cura negata dall'utente

il file va spostato in quarantena esattamente come Guida, ripeti scansione completa ed allega il log.

[g_u_e_s_s]

Originariamente inviato da Chill-Out

1 Abilita la visualizzazione dei files nascosti



e controlla su http://virscan.org/ e http://www.virustotal.com/it/ il seguenti file:

ntcmd_int.dll che trovi in c:\windows\system32\

per i risultati e sufficiente riportare nel prossimo post l'URL rilasciata a fine scansione

2 Disinstalla i seguenti software:

boilsoft video splitter
error repair professional
fontviewer


Al termine allega nuovo log di Prevx

Vado ed eseguo!!
Nel frattempo ho fatto una scansione anche con A-squared....
Questa è la schermata:
asquared.png

- BsPlayer è noto per essere segnalato da molto anti-adware come adware (appunto), ma non è vero.
- olectr_int.dll provo a fixarlo, ma mi dice che non può cancellarlo
- c:\windows\installer\msic.tmp dovrebbe essere un adware, stando al sito della emisoft...
- AoA_audio_extractor avrà un malware? Chissà....magari è come BsPlayer...
- il file nella cartella Helpassistant è chiaramente da eliminare insieme alla cartella, ma più tardi
- Error Repair lo disinstallo, come mi hai suggerito prima
- c:\windows\system32\drivers\Oreans.sys : cercando su Google,dice che è un file legato a Oxygen Phone manager, e che se è un malware si trova in altre cartelle....ma ti chiedo comunque un parere
- gli ultimi due li ho messi in quarantena senza indugi!

Appena riesco, posto il risultato delle analisi dei file!

[annairene]

Un saluto a tutti, sono un nuovo utente, appena registrata. Purtroppo, mi presento con un problema per me grandissimo, visto che non sono particolarmente esperta, anzi diciamo che sono a digiuno di informatica, solo qualche nozione di base per usufruire del computer.
Vengo al dunque. Venerdì scorso, mio marito ha acceso il computer ed è apparsa una schermata nera con la seguente dicitura:
""""Trend ChipAwayVirus has detected a boot virus on your hard disk!
Press (Enter) for more information (recomended)
(C) to continue booting
"Complete Virus Protection for the Enterprise"
Trend Micro - http://www.antivirus.com""""

Panico! non sapevo dove mettere le mani, poi ho continuato come suggerito per continuare il booting e ho cominciato una serie di operazioni; prima di tutto ho scansionato il computer con l'antivirus Avira; poi ho continuato con Malwarebytes; infine ho usato HiJackThis. Nessun riscontro, nessun virus, e la schermata si presenta ad ogni accensione.
Premetto che ho XP Professional regolare, con WGA, regolarmente aggiornato con Windows Update e, considerato che uso le normali precauzioni (non aprire allegati mail, non visitare siti sconosciuti ecc.) mi sentivo al sicuro, ma, purtroppo, il pc viene usato anche dai miei figli e da mio marito; vero è che da un mese ho notato uno strano comportamento di Avira, come difficoltà nell'autoaggiornamento, errore nel Registro Eventi, Crypt 32, tanto è che ho disinstallato l'antivirus pensando a un malfunzionamento: con molta preoccupazione mi sono resa conto che, togliendo Avira, non appariva lo scudetto rosso che avrebbe dovuto avvertirmi che il Pc poteva essere sottoposto a minacce. Sono andata a controllare il centro sicurezza Pc e ho notato che, secondo lui, il computer pur essendo sprovvisto dell' antivirus normale era protetto da un altro antivirus: ma quale ?
In conclusione ho girato per google fino a quando mi sono imbattuta nel vostro forum, senza registrarmi però; ho scaricato Gmer e Prevxt e ho eseguito la scansione, però, non potendo loggare il report, a me è sembrato che non ci fosse nulla di sospetto, quindi non ho continuato. Ora mi chiedo se la scansione andasse fatta in modalità provvisoria, tenendo conto che la scansione veniva fatta su C\ e non sulla partizione nascosta del disco. Comunque ne capisco poco, ho preferito chiedere aiuto a qualcun altro che mi ha convinto che il disco si è infettato con il virus MBR.Rootkit. Vi chiede se devo eseguire alla lettera la guida, la procedura del primo post di questo thread, se devo eseguire i programmi Gmer e Prevxt in modalità provvisoria e se, una volta fatta la scansione, devo riavviare il pc. Un'altra cosa: come posso postare gli eventuali log, i report dei programmi?
Scusate, sono stata prolissa, ma vi chiedo la cortesia di rispondere come si farebbe a un bambino delle elementari .

[gabryflash]

ciao annairene..dunque per essere sicura cosa tu abbia devi seguire questa guida che trovi qui

http://www.hwupgrade.it/forum/showthread.php?t=1599737

mentre per i log devi seguire questa

http://www.hwupgrade.it/forum/showthread.php?t=1751598


se hai bisogno chiedi pure ..ti consiglio di seguire la guida alla lettera e di postare i log in sequenza richiesta dopodichè i medici esperti del forum ti diranno se sei effettivamente affetta da mbr rootkit...armati di pazienza e non disperare che risolviamo tutto

[Chill-Out]

@annairene

Ciao segui la Guida in prima pagina, ovvero http://www.hwupgrade.it/forum/showthread.php?t=1715546

[Dumbledore]

Ciao ragazzi, vi spiego velocemente il mio problema perchè ho qualche difficoltà ad usare la guida in prima pagina.
Devo sistemare il pc dei miei (sto usando teamviewer come remote control) da un'infezione che c'è stata ieri rilevata da KIS internet security 2010 come backdoor.win32.sinowal.br. Provando a disinfettare nulla è riuscito e gli ho fatto selezionare l'unica opzione = ignora! Poi riavviato e rifatto le scansioni e non spunta più nulla da tutto ok! Sul pc c'è vista home basic 64 bit col service pack 1.
Oggi mi sono collegato con teamviewer per cercare di capire che cavolo è successo e perchè non la rileva più rifacendo la scansione completa! Però qui sorge il problema A-squared e KIS non trovano più nulla, ho installato prevx 3.0 e mi da tutto ok ma non riesco a far fare la scansione nè a Gmer nè al tool norman. Gmer mi fa scansionare solo le ultime 3 caselle (services, registry e files) non lasciando scansionare le altre che sono grigie mentre norman salta la scansione del boot dicendo che il tentativo è fallito! Ora provo malware byte e Cure.it ma sono seriamente preoccupato perchè non vorrei lasciare che i miei tornino ad usare il pc per fare le comuni operazione di home banking e vedere sparire i risparmi!Vi prego se potete darmi una mano ve ne sarei molto grato. ditemi se vi serve qualche altra info. Ciao

[nicoct]

Originariamente inviato da Chill-Out

Estratto dal lo di CureIt



il file va spostato in quarantena esattamente come Guida, ripeti scansione completa ed allega il log.

guarda io penso di aver seguito le istruzioni..aveva trovato il file infetto..
mi chiedeva che fare io ho messo nega cure e poi come azione sposta in quarantena...

nel log che ti avevo inviato prima è vero che diceva
[Scan path] C:\hutck8.dll
C:\hutck8.dll infettato da Trojan.Packed.680 - cura negata dall'utente

ma io me lo ritrovo messo tra i file in quarantena comunque
ho rifatto la scansione sia in modalità express che completa...
il file non me l ha trovato (essendo gia in quarantena)
adesso ti posto il log completo ...
sempre grazie per i tuoi interventi comunque...
http://www.mediafire.com/file/vn1dnml2mkm/CureIt.log

e qui ti posto quello ridotto col procedimento (ho tentato di seguire le istruzioni penso che siano corrette)
http://www.mediafire.com/file/mizmm3emnym/cureit filtrato.txt

aspetto tue notizie...

[wjmat]

Originariamente inviato da Dumbledore

Ciao ragazzi, vi spiego velocemente il mio problema perchè ho qualche difficoltà ad usare la guida in prima pagina.
Devo sistemare il pc dei miei (sto usando teamviewer come remote control) da un'infezione che c'è stata ieri rilevata da KIS internet security 2010 come backdoor.win32.sinowal.br. Provando a disinfettare nulla è riuscito e gli ho fatto selezionare l'unica opzione = ignora! Poi riavviato e rifatto le scansioni e non spunta più nulla da tutto ok! Sul pc c'è vista home basic 64 bit col service pack 1.
Oggi mi sono collegato con teamviewer per cercare di capire che cavolo è successo e perchè non la rileva più rifacendo la scansione completa! Però qui sorge il problema A-squared e KIS non trovano più nulla, ho installato prevx 3.0 e mi da tutto ok ma non riesco a far fare la scansione nè a Gmer nè al tool norman. Gmer mi fa scansionare solo le ultime 3 caselle (services, registry e files) non lasciando scansionare le altre che sono grigie mentre norman salta la scansione del boot dicendo che il tentativo è fallito! Ora provo malware byte e Cure.it ma sono seriamente preoccupato perchè non vorrei lasciare che i miei tornino ad usare il pc per fare le comuni operazione di home banking e vedere sparire i risparmi!Vi prego se potete darmi una mano ve ne sarei molto grato. ditemi se vi serve qualche altra info. Ciao

ciao

fai la scansione con cureit
e poi carica tutti i log in tuo possesso

[Chill-Out]

Originariamente inviato da nicoct

guarda io penso di aver seguito le istruzioni..aveva trovato il file infetto..
mi chiedeva che fare io ho messo nega cure e poi come azione sposta in quarantena...

nel log che ti avevo inviato prima è vero che diceva
[Scan path] C:\hutck8.dll
C:\hutck8.dll infettato da Trojan.Packed.680 - cura negata dall'utente

ma io me lo ritrovo messo tra i file in quarantena comunque
ho rifatto la scansione sia in modalità express che completa...
il file non me l ha trovato (essendo gia in quarantena)
adesso ti posto il log completo ...
sempre grazie per i tuoi interventi comunque...
http://www.mediafire.com/file/vn1dnml2mkm/CureIt.log

e qui ti posto quello ridotto col procedimento (ho tentato di seguire le istruzioni penso che siano corrette)
http://www.mediafire.com/file/mizmm3emnym/cureit filtrato.txt

aspetto tue notizie...

Dovremmo essere a posto.

[Sciaracastro]

Anche io ho lo stesso problema.
Sia Firefox che Explorer dopo pochi minuti (a volte anche secondi) iniziano a ciucciare memoria a go-go ed inoltre la memoria allocata è sempre MOLTO maggiore rispetto al totale dei processi.
Facendo una scansione con AntiVir in modalità provvisoria (perchè normalmente non mi scansiva nulla) mi nota boo\sinowal.e nel record master di avvio dell'hard disk 0 ed in ogni altro drive.
Ho provato ComboFix e mi ha eliminato solo alcuni problemi. (altri trojan credo).
Ho provato Gmer, e questo è il log
http://wikisend.com/download/898466/gmer.txt

Prevx mi trova 4 infezioni, ma per il log post-disinfezione mi chiede la licenza...
Il log PRE-disinfezione è questo
http://wikisend.com/download/437072/prevx pre.log

In precedenza avevo usato mbr.exe (come indicato, in modalità provvisoria e non), e mi trovava sia malicious code che PE file in due settori distinti, ma non mi diceva che aveva ripristinato correttamente l'MBR.

Come procedo?