pc lento...probabile infezione

[Darkboy91]

Cari amici credo che il mio pc sia stato infettato in quanto stamattina accendendo il pc risultava estremamente lento e dal taskmaager la cpu era occupata al 100% (system ,explorer.exe, update.exe, svchost.exe insieme erano il totale della cpu).
Anche dopo l'avvio la cpu non esitava a scendere e il pc era estremamente lento....
sapete aiutarmi??
grazie

[wjmat]

ciao
potrebbero essere tutti processi leciti...
Scarica da qui Process Explorer.
Estrailo → fallo partire → Nel menù View clicca Select Columns... → Sotto la scheda Process Image devono essere spuntate le voci "Description" "Company Name" "Image Path"→ Clicca OK → Sotto il menù File clicca Save as... → Guarda dove viene salvato il log → Clicca su salva
Ora carica il log generato tramite il comando gestisci allegati

[Darkboy91]

ecco l'allegato...ma sono sicuro che c'è lo zampino di un rootkit

[wizard1993]

leggi qui
http://www.hwupgrade.it/forum/showthread.php?t=1599737
e posta solo i log di prevx csi e gmer; poi fai una scan con f-secure antivirus online

[Darkboy91]

grazie wizard faro' come mi hai consigliato, anche se per ciascuna scansione impieghero' molto tempo visto che la CPU è utilizzata al 100% perennemente e fa rallentare l'avvio di ogni programma...sospetto sia uno di quei rootkit che invade la mbr visto che gmer se non sbaglio riportava l'indicazione "mbr" in rosso
P.S: ma queste scansioni le posso fare in modalità provvisoria visto che almeno li' la CPU rimane bassa e non arriva mai a 100% come ho notato stamattina mentre accedevo a quella modalità?

[xcdegasp]

prima correggiamo l'mbr quindi vai qui:
http://www.hwupgrade.it/forum/showthread.php?t=1715546

e poi proseguiamo qui per continuare lapulizia

[wjmat]

per velocizzarti le scansioni comincia a disinstallare i 50 antispyware che hai installato
tieni a-squared e disinstalli:

• spyware doctor
• ad-aware
• avg antispyware
• winpatrol

[Darkboy91]

xcdegasp il log di mbr.exe( tutti e tre i log sono uguali) a quanto pare corrisponde a quello indicato dalla guida come MBR corretto,quindi non c'erano infezioni?!
utilizzando il tool della symantec, esso diceva che non erano state trovate traccie sul pc.
Siamo punto e a capo , evidentemente il problema non era quel tipo di rootkit...e ora che si fa??

[Chill-Out]

Originariamente inviato da Darkboy91

xcdegasp il log di mbr.exe( tutti e tre i log sono uguali) a quanto pare corrisponde a quello indicato dalla guida come MBR corretto,quindi non c'erano infezioni?!
utilizzando il tool della symantec, esso diceva che non erano state trovate traccie sul pc.
Siamo punto e a capo , evidentemente il problema non era quel tipo di rootkit...e ora che si fa??

Magari se ci alleghi qualche log riusciamo a capire qualcosa di più, oppure ci giochiamo la carta della fantasia.

[Darkboy91]

Si scusami chill-out vi allego il log HIJACK THIS, se vi serve il log di qualcos'altro, ditemelo, grazie.

[Chill-Out]

Originariamente inviato da Darkboy91

Si scusami chill-out vi allego il log HIJACK THIS, se vi serve il log di qualcos'altro, ditemelo, grazie.

+ Prevx CSI leggi qui al Punto 9 http://www.hwupgrade.it/forum/showthread.php?t=1599737

[Darkboy91]

ecco l'URL del report online di PrevxCSI:
http://csia0.prevx.com/individualcsi...SIPLUS&CMD=LSR

ecco l'URL dove si trova il file .doccon la stampa a video , xke forse non coincidono: http://www.sendmefile.com/00632888

[Chill-Out]

Originariamente inviato da Darkboy91

ecco l'URL del report online di PrevxCSI:
http://csia0.prevx.com/individualcsi...SIPLUS&CMD=LSR

ecco l'URL dove si trova il file .doccon la stampa a video , xke forse non coincidono: http://www.sendmefile.com/00632888

posta lo screenshot direttamente su http://fileqube.com/ in formato jpg

attendiamo anche HJT e Gmer

[Darkboy91]

il log di hj l'ho già postato...purtroppo non so come salvare in formato jpg la stampa a video del log di prevx...ma cmq c'è il collegamento URL.
Il log di gmer non lo riesco a copiare, xke nn c'è il pulsante copy:
ecco le voci che mi sembrano strane:

disk \device\Harddisk0\DR0 sector00: MBR rootkit detected!!(IN ROSSO)
disk \device\Harddisk0\DR0 sector32rootkit-like behavior(IN NERO)
disk \device\Harddisk0\DR0 sector62rootkit-like behavior(IN NERO)
disk \device\Harddisk0\DR0 sector63:rootkit-like behavior(IN NERO)

[Chill-Out]

Originariamente inviato da Darkboy91

il log di hj l'ho già postato...purtroppo non so come salvare in formato jpg la stampa a video del log di prevx...ma cmq c'è il collegamento URL.
Il log di gmer non lo riesco a copiare, xke nn c'è il pulsante copy:
ecco le voci che mi sembrano strane:

disk \device\Harddisk0\DR0 sector00: MBR rootkit detected!!(IN ROSSO)
disk \device\Harddisk0\DR0 sector32rootkit-like behavior(IN NERO)
disk \device\Harddisk0\DR0 sector62rootkit-like behavior(IN NERO)
disk \device\Harddisk0\DR0 sector63:rootkit-like behavior(IN NERO)

Come non c'è il pulsante copy guarda in basso a destra
in ogni caso devi seguire questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1715546 presta attenzione alle istruzioni in particolare ai tre punti della SECONDA FASE il che vuol dire che i log da produrre sono 3 inoltre mi raccomando il comando da lanciare al secondo punto è C:\mbr.exe -f

Leggi bene la Guida

Terminata la scansione con Prevx CSI premi il tasto Stamp di solito vicino a F10, apri Paint (Start - Tutti i programmi - Accessori - Paint) ed incolli l'immagine, ricorda di salvarla in formato jpg

[Darkboy91]

http://www.fileqube.com/shared/ONeDKJEl37020 Screen shot PREVX CSI
Allego log MBR1-MBR2-MBR3.

http://www.fileqube.com/shared/oJewrxz37022 Log gmer(autostart+rootkit)

questo è il log di fixMebroot:
Symantec Trojan.Mebroot Removal Tool 1.0.2
Found drive \\.\PhysicalDrive0, analyzing MBR...
Creating FixMebroot service driver
Running driver...
Trojan.Mebroot has not been found active on your computer.
Delete service driver
Delete driver file
End


The tool initiated a system reboot.

[wizard1993]

male male male, nuova variante; hai il cd di windows?

[Darkboy91]

Intendi il cd che ho avuto insieme al laptop??(ripristino prodotto?) xke io ho anche il cd di installazione windows del pc fisso!
Il problema è che non ho fatto alcun backup e non vorrei formattare il disco!

[wizard1993]

Originariamente inviato da Darkboy91

Intendi il cd che ho avuto insieme al laptop??(ripristino prodotto?) xke io ho anche il cd di installazione windows del pc fisso!
Il problema è che non ho fatto alcun backup e non vorrei formattare il disco!

non ho intenzione di farti formattare, ma di sovrascrivere la mbr con una nuova, la cosa verrebbe bene installandoci sopra una distribuzione linux che dell mbr di windwos ne lascia solo il ricordo; ma visto che non si può intendevo farti avviare da cd il computer e lanciare il comando fixmbr

[Darkboy91]

dimmi tutto allora...cosa mi consigli?
perchè la cpu è perennemente al 100%, le scansioni e le aperture dei programmi sono stra-lente
comunque devo usare il cd di ripristino del laptop, o il disco di installazione di windows