Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT - Pagina 60

**Chill-Out** · 21-04-2009, 15:42

Quote:

Originariamente inviato da juninho85

gmer segnala codice anomalo sull mbr

Potresti allegare il log di Gmer, thx.

juninho85 · 21-04-2009, 15:58

vedo se riesco a recuperarlo

buonasalve · 21-04-2009, 18:57

vi posto il mio log di gmer...vedete qualcosa di anomalo ?

grazie ragazzi

ho usato anche il tool di trendmicro ma non mi ha rilevato nulla

wjmat · 21-04-2009, 20:23

Quote:

Originariamente inviato da buonasalve

vi posto il mio log di gmer...vedete qualcosa di anomalo ?

grazie ragazzi

ho usato anche il tool di trendmicro ma non mi ha rilevato nulla

ciao

log pulito

buonasalve · 21-04-2009, 20:40

Quote:

Originariamente inviato da wjmat

ciao

log pulito

grazie mille

juninho85 · 22-04-2009, 08:56

dunque...in almeno uno dei casi si trattava di conficker e non mebroot...anche se non capisco perchè non abbia agito sui dns

ma sopratutto gmer mi dava chiaro chiaro almeno 30 righe di messaggio con righe di codice anomalo aggiunte sull mbr....lancio il fixer eppure non viene rilevato nulla...e manco gmer ne trova più traccia

http://mio.discoremoto.alice.it/juninho85/log.log

wjmat · 22-04-2009, 09:33

Quote:

Originariamente inviato da juninho85

dunque...in almeno uno dei casi si trattava di conficker e non mebroot...anche se non capisco perchè non abbia agito sui dns

ma sopratutto gmer mi dava chiaro chiaro almeno 30 righe di messaggio con righe di codice anomalo aggiunte sull mbr....lancio il fixer eppure non viene rilevato nulla...e manco gmer ne trova più traccia

http://mio.discoremoto.alice.it/juninho85/log.log

ciao

questa voce di gmer non mi sembra tanto normale

Quote:

---- Services - GMER 1.0.15 ----

Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] dmibz <-- ROOTKIT !!!

hai già provato col tasto dx e delete service?

**Chill-Out** · 22-04-2009, 09:52

Ma dov'è il log di Gmer?

juninho85 · 22-04-2009, 10:13

Quote:

Originariamente inviato da wjmat

ciao

questa voce di gmer non mi sembra tanto normale

hai già provato col tasto dx e delete service?

lo so che non è normale

comunque si,ho fatto il delete...il problema più che altro risiedeva sulla dll wtryc in system 32...avira non la rilevava in quanto bloccata da svchost.exe
rimosso l'ads,sbloccato il file con unlocker a questo punto avira rilevava e rimuoveva la dll,e PER ORA il servizio non viene rigenerato all'avvio

il log di gmer è nel mio post precedente

**Chill-Out** · 22-04-2009, 10:25

Quote:

Originariamente inviato da juninho85

lo so che non è normale

comunque si,ho fatto il delete...il problema più che altro risiedeva sulla dll wtryc in system 32...avira non la rilevava in quanto bloccata da svchost.exe
rimosso l'ads,sbloccato il file con unlocker a questo punto avira rilevava e rimuoveva la dll,e PER ORA il servizio non viene rigenerato all'avvio

il log di gmer è nel mio post precedente

Verifica che non ci sia nulla di anomalo qui

Quote:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs

juninho85 · 22-04-2009, 10:46

si,la sotto si crea il servizo che provvedo ogni volta ad eliminare.

comunque niente da fare,si rigerano sia la dll che il servizio...ora gli ads vengono creati sia su svchost.exe che su ntkrnlpa.exe...c'è da diventare pazzi

**Chill-Out** · 22-04-2009, 10:48

Quote:

Originariamente inviato da juninho85

si,la sotto si crea il servizo che provvedo ogni volta ad eliminare.

comunque niente da fare,si rigerano sia la dll che il servizio...ora gli ads vengono creati sia su svchost.exe che su ntkrnlpa.exe...c'è da diventare pazzi

Ok, eventualmente ci trasferiamo qui http://www.hwupgrade.it/forum/showthread.php?t=1952610

Aebi · 26-04-2009, 12:16

In seguito ad una serie di malfunzionamenti ho seguito le istruzioni del

thread:
http://www.hwupgrade.it/forum/showthread.php?t=1599737
non sono molto pratico ma penso che i miei problemi interessino questi thread

Allegare i log secondo le Regole di sezione, grazie.

.. sto un leggendo il thread su gmer che mi pare l'infezione piu' preoccupante ... altri consigli su come procedere?
Ciao e grazie

wjmat · 26-04-2009, 14:10

Quote:

Originariamente inviato da Aebi

In seguito ad una serie di malfunzionamenti ho seguito le istruzioni del

thread:
http://www.hwupgrade.it/forum/showthread.php?t=1599737
non sono molto pratico ma penso che i miei problemi interessino questi thread
.
.
.
.
.
Ciao e grazie

ciao

apri un nuovo 3d dedicato al tuo problema e carica tutti i log secondo le regole di sezione

poi per iniziare potresti a fare clixk dx sulla voce rossa di gmer e selezionare delete service

viemme52 · 05-05-2009, 14:48

In seguito a questa mia richiesta di aiuto http://www.hwupgrade.it/forum/showth...1#post27345260
vi posto i miei log della prima fase:
PrevX
http://www.fileqube.com/file/GVABxY194139

Entrambe le scansioni hanno individuato un'infezione!

Attendo suggerimenti su come procedere

**Chill-Out** · 05-05-2009, 15:44

Quote:

Originariamente inviato da viemme52

In seguito a questa mia richiesta di aiuto http://www.hwupgrade.it/forum/showth...1#post27345260
vi posto i miei log della prima fase:
PrevX
http://www.fileqube.com/file/GVABxY194139

Entrambe le scansioni hanno individuato un'infezione!

Attendo suggerimenti su come procedere

Ti ho risposto qui http://www.hwupgrade.it/forum/showthread.php?t=1977598

asd12 · 14-05-2009, 07:55

ciao ho usato il tool di symantec per rimuoverlo ( anche se me lo segnalava infetto ) e sembra sia riuscito a cancellarlo xo poi dopo una settimana si è presentato il solito problema ( ovvero blocco di internet ... p2p etc ) ho provato anche il fix da cmd ma nn va... il comando mbr.exe -f nn fa nulla

che posso fare?

ps:oggi nel taskmanager è apparso un processo dllhost.exe (system) pensate sia annidato qui?
pps:appena finisco la scansione con antivir ve la mostro
ppps: dopo aver riavviato il pc internet funziona di nuovo

avscan.log.txt

juninho85 · 14-05-2009, 08:29

dllhost è legittimo

asd12 · 14-05-2009, 08:33

Quote:

Originariamente inviato da juninho85

dllhost è legittimo

ma se prima non lo avviava potrebbe essere stato avviato dal virus

ho aggiunto il log di antivir e ho notato che c'è scritto "Search for rootkits..............: off"

come cambio quest'opzione?

juninho85 · 14-05-2009, 08:35

Quote:

Originariamente inviato da asd12

ma se prima non lo avviava potrebbe essere stato avviato dal virus

potrebbe,ma il file di per sè non è infetto

22-04-2009, 08:56	#1186
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 28983	dunque...in almeno uno dei casi si trattava di conficker e non mebroot...anche se non capisco perchè non abbia agito sui dns ma sopratutto gmer mi dava chiaro chiaro almeno 30 righe di messaggio con righe di codice anomalo aggiunte sull mbr....lancio il fixer eppure non viene rilevato nulla...e manco gmer ne trova più traccia http://mio.discoremoto.alice.it/juninho85/log.log Ultima modifica di juninho85 : 22-04-2009 alle 09:19.

22-04-2009, 09:52	#1188
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Ma dov'è il log di Gmer? __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

26-04-2009, 12:16	#1193
Aebi Senior Member Iscritto dal: Dec 2005 Messaggi: 350	probabile rootkit In seguito ad una serie di malfunzionamenti ho seguito le istruzioni del thread: http://www.hwupgrade.it/forum/showthread.php?t=1599737 non sono molto pratico ma penso che i miei problemi interessino questi thread Allegare i log secondo le Regole di sezione, grazie. .. sto un leggendo il thread su gmer che mi pare l'infezione piu' preoccupante ... altri consigli su come procedere? Ciao e grazie Ultima modifica di Chill-Out : 26-04-2009 alle 21:50.

14-05-2009, 07:55	#1197
asd12 Senior Member Iscritto dal: Jul 2007 Città: Napoli Messaggi: 1093	ciao ho usato il tool di symantec per rimuoverlo ( anche se me lo segnalava infetto ) e sembra sia riuscito a cancellarlo xo poi dopo una settimana si è presentato il solito problema ( ovvero blocco di internet ... p2p etc ) ho provato anche il fix da cmd ma nn va... il comando mbr.exe -f nn fa nulla che posso fare? ps:oggi nel taskmanager è apparso un processo dllhost.exe (system) pensate sia annidato qui? pps:appena finisco la scansione con antivir ve la mostro ppps: dopo aver riavviato il pc internet funziona di nuovo avscan.log.txt __________________ Le mie trattative - Ho concluso con esito positivo con oltre 80 utenti Ultima modifica di asd12 : 14-05-2009 alle 08:32.

21-04-2009, 15:58	#1182
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 28983	vedo se riesco a recuperarlo

22-04-2009, 10:46	#1191
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 28983	si,la sotto si crea il servizo che provvedo ogni volta ad eliminare. comunque niente da fare,si rigerano sia la dll che il servizio...ora gli ads vengono creati sia su svchost.exe che su ntkrnlpa.exe...c'è da diventare pazzi

14-05-2009, 08:29	#1198
juninho85 Bannato Iscritto dal: Mar 2004 Città: Galapagos Attenzione:utente flautolente,tienilo a mente Messaggi: 28983	dllhost è legittimo

Strumenti
Mostra una versione stampabile Invia questa pagina per email