Colpito da Win32.Sinowal.ck

[$Adry82$]

Salve a tutti,

spiego brevemente la situazione. Mi sono imbattuto in questo virus:
Win32.sinowal.ck rilevatomi da Kasperky Antivirus 2009 regolarmente licenziato:

La peculiarita di questa situazione sta nel fatto che KAV a volte "rileva" e "non rimuove" l'infezione, altre volte invece risulta dai log di scansione come "non trovato".

Invano mi sono servito del servizio assistenza kaspersky che dopo un paio di mail di risposta abbastanza veloci (in giornata stessa della richiesta) con tanto di procedure e programmi in lingua cirillica per la rimozione, non andati a buon fine, adesso non mi rispondono proprio.

Ho provato diverse volte la procedura "guida alla disinfezione per infetti" e devo dire che sembrava avere funzionato ma puntualmente a distanza di giorni riappare la schermata di rilevazione virus.

Purtroppo il pc NON è mio, ma bensi di un amico, e non conosco le abitudini di navigazione e di utilizzo del pc pero dalla quantita di cookie rimossi posso dire che visita parecchia roba.

Premesso questo, Da ieri ho in mano il pc in questione:

Pentium 4 a 3.00GHZ
1giga di ram ddr 400mhz
2x80giga sata disk in MIRROR RAID
Win xp pro sp 3 regolarmente aggiornato e licenziato

ho fatto una scansione di controllo con KAV e mi rilevava il virus in oggetto, adesso sto eseguendo Nuovamente alla procedura "guida alla disinfezione per infetti" (vi preannuncio che sono al punto 8 di gmer e aspetto di terminare la procedura per postare tutti i log di scansione) e fino adesso NON è stato rilevato nulla, ma GMER mi trova un "malicious code" al sector 61.
Tra una scansione ed un altra dei vari software da voi proposti nella guida faccio sempre una scansione di controllo di KAV e attualmente pare che il win32.sinowal.ck non venga piu rilevato c'è da crederci? io purtroppo per esperienza dico di no.

Attendendo i log in questione vi dico che ho aggiornato alle ultime definizioni:

- Antivirus
- Adobe reader
- Flash player
- Shockware player
- Java
- Browser, IE e FIREFOX
- S.O e Office.


Mentre vi rimando ad un'oretta circa prima in attesa del completamento delle operazioni per i log (sia della guida per infetti che la guida alla rimozione dei MBR rootkit) volevo chiedervi qualche domanda:

1) Il sistema infetto in questione è in MIRROR RAID, pensate che il virus sia
stato trasmesso anche nel disco in cui viene riversato il contenuto del
disco MASTER?
2) Questo virus non ha un file sorgente insediato nel sistema operativo da
isolare? o risiede solamente in MBR? e se così potete indicarmi/elencarmi le
principali modalita di contaggio di suddetto virus? (in modo da capire dove cavolo l'abbia preso e fare prevenzione)
3) Se facessi un immagine del disco delle sole partizioni di sistema ad
esempio da riversare su di un disco nuovo, l'immagine effettuata
risulterebbe infetta anch'essa? O risulterebbe "pulita" in quanto non
verrebbe copiato il MBR?
4) Una cancellazione di MBR e partizioni di sistema in toto, risolverebbe
l'infezione? o si necessita di eventuale formattazione a basso livello
dell'intero disco?

Se manca qualche informazione utile chiedete che la posto...

perfavore aiutatemi

non so piu che fare

[wjmat]

Ciao, segui qui la guida per la rimozione di MBR rootkit e posta in quella discussione i log richiesti dalla fase1, in un unico post, secondo le modalità