[WinXP] Prevx 3.0 mi segnala un Rootkit...rncvksmirpvnpubv.sys

Firebird85 · 03-09-2009, 11:06

Salve a tutti, è da ieri che Prevx 3.0 mi segnale come "High Rick Rootkit", questo file: rncvksmirpvnpubv.sys

Si trova nel seguente percorso: C:\WINDOWS\system32\drivers\rncvksmirpvnpubv.sys

Dato che dovrebbe essere un file di sistema, ho preferito aspettare prima di eliminarlo e chiedere consiglio agli esperti del forum

Ho fatto analizzare il file a VirSCAN.org e Virus Total.com, vi allego i risultati (che mi sembrano alquanto discordanti):

VirSCAN.org

http://virscan.org/report/dd0fc5c6aa...214bce8e6.html

Virus Total.com

http://www.virustotal.com/it/analisi...54f-1251932110

Se questo argomento è già stato trattato vi pregherei di indirizzarmi alla discussione relativa, grazie

**Chill-Out** · 03-09-2009, 11:11

La rilevazione di Prevx è corretta, segui esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione.

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

Firebird85 · 07-09-2009, 09:28

Ciao Chill Out, è stata dura ma ce l'ho fatto ad ottenere tutti i log, ecco l'elenco:
(nota: direi che dopo aver eleminato i file individuati da A-Squared è cominciata a comparire la finestrella "windows installer"...anche se premo annulla continua a saltar fuori a intermittenza...)

Malwarebytes Anti-Malware
http://www.sendspace.com/file/javghi

A-Squared Free
http://www.sendspace.com/file/ad5g84

F-Secure OnLine
http://www.sendspace.com/file/p45s63

Dr.Web CureIT
http://www.sendspace.com/file/f3blxq

ESET SysInspector
http://www.sendspace.com/file/vlg31p

HiJackThis
http://www.sendspace.com/file/ow1ynb

Gmer
http://www.sendspace.com/file/u6srwo

PrevxCSI
http://www.sendspace.com/file/e5z4xz

**Chill-Out** · 07-09-2009, 09:40

Modalità di pubblicazione dei log:

Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione.

Firebird85 · 07-09-2009, 12:00

I log sono nell'ordine indicato nella guida, sono tutti in formato .txt (tranne ESET SysInspector), li ho cariti su di un server e ho messo il link per il download....che cosa ho sbagliato???

per la cronaca: ho provato a caricarli su fileqube.com, ma l'upload non avanza...

**Chill-Out** · 07-09-2009, 12:03

Quote:

Originariamente inviato da Firebird85

I log sono nell'ordine indicato nella guida, sono tutti in formato .txt (tranne ESET SysInspector), li ho cariti su di un server e ho messo il link per il download....che cosa ho sbagliato???

per la cronaca: ho provato a caricarli su fileqube.com, ma l'upload non avanza...

I Server dedicati sono:

http://freefilehosting.net/
http://wikisend.com/
http://fileqube.com/
http://www.mediafire.com/index.php

Firebird85 · 07-09-2009, 16:20

**Chill-Out** · 07-09-2009, 16:55

Con il Browser chiuso esegui HJT, clicca su Do a system scan only, metti il segno di spunta nella casella bianca a sx delle sotto indicate voci e clicca su Fix cheked

Quote:

O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file)
O2 - BHO: P2P MAX IT Atube Toolbar - {8c2f6d41-2583-424f-a88b-46d5401b5a96} - C:\Programmi\P2P_MAX_IT_Atube\tbP2P1.dll
O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)
O3 - Toolbar: P2P MAX IT Atube Toolbar - {8c2f6d41-2583-424f-a88b-46d5401b5a96} - C:\Programmi\P2P_MAX_IT_Atube\tbP2P1.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FILECO~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programmi\File comuni\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Programmi\Diskeeper Corporation\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Programmi\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programmi\Adobe\Photoshop Elements 4.0\apdproxy.exe"
O9 - Extra button: (no name) - {0045D4BC-5189-4b67-969C-83BB1906C421} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: ThinkVantage Password Manager... - {0045D4BC-5189-4b67-969C-83BB1906C421} - C:\WINDOWS\system32\shdocvw.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab

successivamente indicami per esteso l'errore realtivo a windows installer eventualmente allega uno screenshot su http://www.imageshack.us/

Firebird85 · 08-09-2009, 00:59

Ciao Chill-Out, ho fatto quello che mi hai detto in HJT.

Per il problema di windows installer, la finestra appare di tanto in tanto, poi scompare senza che io faccia nulla (se premo annulla, scompare e poi riappare)

Qui lo screen shot:
http://img171.imageshack.us/img171/3...reenshot2i.jpg

A questo si è aggiunta un'altra finestra di un programma che ho installato tempo fa, che mi richiede l'istallazione di un componente

Ho provato a disinstallare il programma (da installazione applicazioni), ma mi appare la finestra che mi dice "E' in corso un'altra installazione. Completarla prima di procedere con questa installazione"

Qui lo screen shot:
http://img201.imageshack.us/img201/8...reenshotva.jpg

**Chill-Out** · 08-09-2009, 09:47

Per quanto concerne Windows Installer fai questa verifica:

Start - Esegui - digita msconfig

seleziona il TAB Servizi e verifica che ci sia il segno di spunta nella casella bianca in corrispondenza della voce Windows Installer, controlla inoltre lo stato del servizio.

Per il programma http://img201.imageshack.us/img201/8...reenshotva.jpg disinstallalo da modalità provvisoria F8.

Firebird85 · 08-09-2009, 10:38

Dunque la spunta di finco alla voce "Windows installer" è presente, e lo stato è "esecuzione"

Per quanto riguarda l'altro programma (SPSS), ho provato ad eliminarlo in modalità provvisoria, però da "installazione applicazioni" mi dice che è impossibile utilizzare windows installar....allora ho provato a cercare la cartella direttamente dentro "programmi"....altro problema..la cartella NON c'è...però risulta installato..

**Chill-Out** · 08-09-2009, 10:44

Start - Esegui - digita services.msc

doppio click sul servizio denominato Windows Installer

Stato del servizio: Arrestalo

Nel menu a tendina Tipo di avvia: seleziona manuale

Applica - Ok

Firebird85 · 08-09-2009, 11:20

Il windows installer me lo dà attivato, però non posso bloccarlo....tutti i tasti di selezione sono grigi e non posso premerli...

Il tipo di avvio è già impostato su "manuale"

**Chill-Out** · 08-09-2009, 11:44

Quote:

Originariamente inviato da Firebird85

Il windows installer me lo dà attivato, però non posso bloccarlo....tutti i tasti di selezione sono grigi e non posso premerli...

Il tipo di avvio è già impostato su "manuale"

Aggiorna il SO al SP3

Firebird85 · 08-09-2009, 17:15

Non riesco ad installarlo....l'installazione è bloccata su "Controllo Product Key", di sfondo è sempre aperta la finestra del programma SPSS..
(per la cronaca, la mia copia di windows xp è originale)

**Chill-Out** · 08-09-2009, 18:22

Quote:

Originariamente inviato da Firebird85

Non riesco ad installarlo....l'installazione è bloccata su "Controllo Product Key", di sfondo è sempre aperta la finestra del programma SPSS..
(per la cronaca, la mia copia di windows xp è originale)

http://www.microsoft.com/downloads/d...DisplayLang=it

Firebird85 · 08-09-2009, 18:43

Il file del SP3 l'ho scaricato senza problemi, è l'installazione che è bloccata su "Controllo Product Key"...
non vorrei che la causa fossero queste finestre di windows installer e SPSS che continuano a comparire...infatti se io aprò il Task Manager per terminare queste finestre mi chiude automaticamente anche l'istallazione del SP3..

**Chill-Out** · 08-09-2009, 19:07

Che cosa strana, segui il Metodo 2 della presente Guida

http://support.microsoft.com/kb/324516/it

Metodo 2: Effettuare una nuova registrazione di Windows Installer

Firebird85 · 09-09-2009, 00:29

Direi di aver risolto il problema, la soluzione era più semplice del previsto.

La schermata di SPSS mi chiedeva di installare un componente del programma...subito non ci ho fatto molto caso perchè pensavo fosse il risultato di qualche malware. Poi però ho deciso di provare ad assecondare le richieste della schermata, così ho cercato il componente nel CD di installazione...
risultato: programma reinstallato, schermata scomparsa (anche quella di windows installer)

L'ho appena disinstallato per verificare l'efficacia del tutto: nessun problema, lo ha disinstallato normalmente

A questo punto mi viene solo da pensare che qualche file che è andato cancellato nelle varie scansioni dei programmi indicati nella guida, abbia un po' messo in agitazione il caro SPSS....

**Chill-Out** · 09-09-2009, 09:18

Quote:

Originariamente inviato da Firebird85

Direi di aver risolto il problema, la soluzione era più semplice del previsto.

La schermata di SPSS mi chiedeva di installare un componente del programma...subito non ci ho fatto molto caso perchè pensavo fosse il risultato di qualche malware. Poi però ho deciso di provare ad assecondare le richieste della schermata, così ho cercato il componente nel CD di installazione...
risultato: programma reinstallato, schermata scomparsa (anche quella di windows installer)

L'ho appena disinstallato per verificare l'efficacia del tutto: nessun problema, lo ha disinstallato normalmente

A questo punto mi viene solo da pensare che qualche file che è andato cancellato nelle varie scansioni dei programmi indicati nella guida, abbia un po' messo in agitazione il caro SPSS....

Se fosse stato un malware te lo avrei indicato nei reply precedenti a questo, comunque problema risolto, ti suggerisco pertanto di seguire questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1726383

03-09-2009, 11:06	#1
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	[WinXP] Prevx 3.0 mi segnala un Rootkit...rncvksmirpvnpubv.sys Salve a tutti, è da ieri che Prevx 3.0 mi segnale come "High Rick Rootkit", questo file: rncvksmirpvnpubv.sys Si trova nel seguente percorso: C:\WINDOWS\system32\drivers\rncvksmirpvnpubv.sys Dato che dovrebbe essere un file di sistema, ho preferito aspettare prima di eliminarlo e chiedere consiglio agli esperti del forum Ho fatto analizzare il file a VirSCAN.org e Virus Total.com, vi allego i risultati (che mi sembrano alquanto discordanti): VirSCAN.org http://virscan.org/report/dd0fc5c6aa...214bce8e6.html Virus Total.com http://www.virustotal.com/it/analisi...54f-1251932110 Se questo argomento è già stato trattato vi pregherei di indirizzarmi alla discussione relativa, grazie

03-09-2009, 11:11	#2
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	La rilevazione di Prevx è corretta, segui esattamente nell'ordine indicato la Guida alla disinfezione allegando tutti i log prodotti in un'unico post secondo le sottoindicate modalità, grazie per la collaborazione. Modalità di pubblicazione dei log: Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione. __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

07-09-2009, 09:40	#4
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Modalità di pubblicazione dei log: Ogni singolo log, esclusivamente in formato .txt a parte SynInspector .xml, deve essere hostato nell'ordine indicato in Guida su uno dei server remoti elencati nelle Regole di sezione. __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

08-09-2009, 09:47	#10
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Per quanto concerne Windows Installer fai questa verifica: Start - Esegui - digita msconfig seleziona il TAB Servizi e verifica che ci sia il segno di spunta nella casella bianca in corrispondenza della voce Windows Installer, controlla inoltre lo stato del servizio. Per il programma http://img201.imageshack.us/img201/8...reenshotva.jpg disinstallalo da modalità provvisoria F8. __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

08-09-2009, 10:44	#12
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Start - Esegui - digita services.msc doppio click sul servizio denominato Windows Installer Stato del servizio: Arrestalo Nel menu a tendina Tipo di avvia: seleziona manuale Applica - Ok __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

07-09-2009, 09:28	#3
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Ciao Chill Out, è stata dura ma ce l'ho fatto ad ottenere tutti i log, ecco l'elenco: (nota: direi che dopo aver eleminato i file individuati da A-Squared è cominciata a comparire la finestrella "windows installer"...anche se premo annulla continua a saltar fuori a intermittenza...) Malwarebytes Anti-Malware http://www.sendspace.com/file/javghi A-Squared Free http://www.sendspace.com/file/ad5g84 F-Secure OnLine http://www.sendspace.com/file/p45s63 Dr.Web CureIT http://www.sendspace.com/file/f3blxq ESET SysInspector http://www.sendspace.com/file/vlg31p HiJackThis http://www.sendspace.com/file/ow1ynb Gmer http://www.sendspace.com/file/u6srwo PrevxCSI http://www.sendspace.com/file/e5z4xz

07-09-2009, 12:00	#5
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	I log sono nell'ordine indicato nella guida, sono tutti in formato .txt (tranne ESET SysInspector), li ho cariti su di un server e ho messo il link per il download....che cosa ho sbagliato??? per la cronaca: ho provato a caricarli su fileqube.com, ma l'upload non avanza...

07-09-2009, 16:20	#7
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Ok, rimetto tutti i file uppati su Wikisend: Malwarebytes Anti-Malware http://wikisend.com/download/957076/Malwarebytes Anti-Malware.txt A-Squared Free http://wikisend.com/download/594604/A-Squared Free.txt F-Secure OnLine http://wikisend.com/download/536002/F-secure online log.txt Dr.Web CureIT http://wikisend.com/download/529858/cureit filtrato.txt ESET SysInspector http://wikisend.com/download/586990/...90906-1958.xml HiJackThis http://wikisend.com/download/480054/hijackthis.log Gmer http://wikisend.com/download/513868/Gmer.log PrevxCSI http://wikisend.com/download/450814/Prevx.log

08-09-2009, 00:59	#9
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Ciao Chill-Out, ho fatto quello che mi hai detto in HJT. Per il problema di windows installer, la finestra appare di tanto in tanto, poi scompare senza che io faccia nulla (se premo annulla, scompare e poi riappare) Qui lo screen shot: http://img171.imageshack.us/img171/3...reenshot2i.jpg A questo si è aggiunta un'altra finestra di un programma che ho installato tempo fa, che mi richiede l'istallazione di un componente Ho provato a disinstallare il programma (da installazione applicazioni), ma mi appare la finestra che mi dice "E' in corso un'altra installazione. Completarla prima di procedere con questa installazione" Qui lo screen shot: http://img201.imageshack.us/img201/8...reenshotva.jpg

08-09-2009, 10:38	#11
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Dunque la spunta di finco alla voce "Windows installer" è presente, e lo stato è "esecuzione" Per quanto riguarda l'altro programma (SPSS), ho provato ad eliminarlo in modalità provvisoria, però da "installazione applicazioni" mi dice che è impossibile utilizzare windows installar....allora ho provato a cercare la cartella direttamente dentro "programmi"....altro problema..la cartella NON c'è...però risulta installato..

08-09-2009, 11:20	#13
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Il windows installer me lo dà attivato, però non posso bloccarlo....tutti i tasti di selezione sono grigi e non posso premerli... Il tipo di avvio è già impostato su "manuale"

08-09-2009, 17:15	#15
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Non riesco ad installarlo....l'installazione è bloccata su "Controllo Product Key", di sfondo è sempre aperta la finestra del programma SPSS.. (per la cronaca, la mia copia di windows xp è originale)

08-09-2009, 18:43	#17
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Il file del SP3 l'ho scaricato senza problemi, è l'installazione che è bloccata su "Controllo Product Key"... non vorrei che la causa fossero queste finestre di windows installer e SPSS che continuano a comparire...infatti se io aprò il Task Manager per terminare queste finestre mi chiude automaticamente anche l'istallazione del SP3..

08-09-2009, 19:07	#18
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Che cosa strana, segui il Metodo 2 della presente Guida http://support.microsoft.com/kb/324516/it Metodo 2: Effettuare una nuova registrazione di Windows Installer __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier. Ultima modifica di Chill-Out : 08-09-2009 alle 19:14.

09-09-2009, 00:29	#19
Firebird85 Member Iscritto dal: Sep 2008 Messaggi: 50	Direi di aver risolto il problema, la soluzione era più semplice del previsto. La schermata di SPSS mi chiedeva di installare un componente del programma...subito non ci ho fatto molto caso perchè pensavo fosse il risultato di qualche malware. Poi però ho deciso di provare ad assecondare le richieste della schermata, così ho cercato il componente nel CD di installazione... risultato: programma reinstallato, schermata scomparsa (anche quella di windows installer) L'ho appena disinstallato per verificare l'efficacia del tutto: nessun problema, lo ha disinstallato normalmente A questo punto mi viene solo da pensare che qualche file che è andato cancellato nelle varie scansioni dei programmi indicati nella guida, abbia un po' messo in agitazione il caro SPSS....

Strumenti
Mostra una versione stampabile Invia questa pagina per email