Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

Originariamente inviato da Liuk71

Ciao Chill,
alcuni giorni fa ho scaricato e usato i tools da te consigliati per la rimozione del Rootkit sul Master Boot Record...
(Gmer e Prevx + Mbr e Sinowal e DrWeb Cureit)
e anche se il Prevx non ha riscontrato nulla con l'Mbr il fetente Rootkit è uscito allo scoperto. Ma credo che solo il DrWeb abbia di fatto intaccato il Master Boot Record, questo l'ho dedotto dal fatto che finita la scansione ho effettuato il ReBoot e Windows all'avvio si è messo ha ripristinare dei file indice di cui non sono riuscito a prendere il nome..... Seguentemente per alcuni giorni tutto bene, sino ad oggi quando di colpo aprendo delle pagine web il browser si è bloccato e si sono ripresentati tutti i sintomi del Rootkit...!!!!!!
Convinto di sconfiggere anche questa volta il fetente mi sono messo al lavoro con i tools anzidetti...
questa volta Prevx mi segnala il Rootkit mi manda in crash il sistema e windows(schermo blu) mi blocca tutto avvisandomi su un sovraccarico per me neofita, inconprensibile. Riavvio manualmente e alla seconda scansione Prevx non trova piu nulla. Continuo lo stesso la procedura usando anche Mbr, Sinowal, e DrWeb ma niente.
Sembrerebbe tutto repristinato e funzionante non fosse altro che MBR continua lo stesso ha segnalarmi la presenza di una copia di codice maligno sul mio Master Boot Record.
Sapete il perche...????? Sapete dirmi cosa usare per difendermi??? Posso ritenere che il mio PC sia attualmente privo di questo tipo di infezioni...???? Grazie per lo splendido lavoro che svolgete...!!!!!!

Come possiamo risponderti senza vedere i log?

[Framar1981]

non vedo nulla di particolare, passa alla fase 3

Ciao, grazie per la risposta, ecco il link del log filtrato di Dr.Web cureit

[wjmat]

Originariamente inviato da Framar1981

Ciao, grazie per la risposta, ecco il link del log filtrato di Dr.Web cureit

disattiva il ripristino configurazione di sistema poi riattivalo o lascialo disattivato

poi passa ai suggerimenti finali

[Framar1981]

Fatto, grazie ancora...mi è rimasto solo un ultimo dubbio, nella vostra guida consigliate di disinstallare i software utilizzati per la pulizia, a me restano da disinstallare combofix e dr.web cureit, però ci sono dei file nelle loro cartelle di quarantena e non sò quali siano i falsi positivi o quelli che si possono eliminare tranquillamente.

Nella cartella quarantena di Combofix:

C:\Qoobox\Quarantine\Registry_backups e all'interno ci sono i file Notify-AntiExtEvent.reg.dat, tcpip.reg e URLSearchHooks--{....}.reg.dat
C:\Qoobox\Quarantine\C\WINDOWS\system32 con all'interno la cartella drivers e altri 12 file con estensione .vir


Allego l'immagine della quarantena di dr.web cureit

[wjmat]

Originariamente inviato da Framar1981

Fatto, grazie ancora...mi è rimasto solo un ultimo dubbio, nella vostra guida consigliate di disinstallare i software utilizzati per la pulizia, a me restano da disinstallare combofix e dr.web cureit, però ci sono dei file nelle loro cartelle di quarantena e non sò quali siano i falsi positivi o quelli che si possono eliminare tranquillamente.

Nella cartella quarantena di Combofix:

C:\Qoobox\Quarantine\Registry_backups e all'interno ci sono i file Notify-AntiExtEvent.reg.dat, tcpip.reg e URLSearchHooks--{....}.reg.dat
C:\Qoobox\Quarantine\C\WINDOWS\system32 con all'interno la cartella drivers e altri 12 file con estensione .vir


Allego l'immagine della quarantena di dr.web cureit

cureit ha eliminato sdfix e smit che non ti abbiamo fatto usare noi e altri file presenti nel ripristino configurazione
di combo non vedendo tutto il log non so dirti ma non mi sembra nulla di particolare
rimuovi pure come indicato

[Framar1981]

no, no, lo sò che non me li avete segnalati voi quei software, li avevo trovati su un'altra guida prima di conoscere il vostro forum..

Ti allego il log della quarantena di combofix, scusa se sono insistente ma quel rootkit è stata un esperienza terrificante...ciao e grazie mille per il supporto

[wjmat]

Originariamente inviato da Framar1981

no, no, lo sò che non me li avete segnalati voi quei software, li avevo trovati su un'altra guida prima di conoscere il vostro forum..

Ti allego il log della quarantena di combofix, scusa se sono insistente ma quel rootkit è stata un esperienza terrificante...ciao e grazie mille per il supporto

rimuovi pure combofix come da info

[Liuk71]

Ciao Chill ti ho inviato i miei log scusa se non sono perfetti...!!! Grazie sono in attesa...!!!

il link:CureIt.txt

[andy1991]

Salve a tutti....
anke io nell'accendere il pc mi sono ritrovato lo schermo nero e la scritta:
Trendmicro..... has found a virus in your harddisk.....e così via....
insomma mi si blocca il boot.

Ora sto su un altro pc in ufficio qndi nn posso postarvi i log.
Mi sono scritto però il settore dv gmer mi ha trovato il "malicious code":
copy of mbr has been found in sector 0x04A98CC5
malicious code sector 0x04A98CC8

Poi alla fine mi dice di usare mbr.exe to fix it. Così ho fatto cm avete detto voi...start esegui mbr.exe-f.....
Fatto qsto il pc si avvia normalmente. Ho fatto la scansione cn norman e nn mi ha trovato nnte.

.....Avete qlke altro link di prodotti gratuiti ke possano pulirmi il pc da eventuali trojan o cose del genere???
Nn ho fatto la scansione cn drweb nè cn prevx perchè c'è bisogno del collegamento a internet e nn so se cn qsto mbr rootkit il pc possa poi riempirsi di virus e robba del genere una volta collegato alla rete.....
e nè tanto meno so se qsto rootkit mi abbia portato dei trojan, i quali faranno il loro sporco lavoro dp ke io mi sia collegato a internet.

Capite qllo ke voglio dire??

Grz x aver letto....aspetto risposte.

[Chill-Out]

Originariamente inviato da Liuk71

Ciao Chill ti ho inviato i miei log scusa se non sono perfetti...!!! Grazie sono in attesa...!!!

il link:CureIt.txt

Seguire la Guida consiste nel mettere in patica tutti i passaggi descritti in prima pagina, ovvero:

:: FASE PRELIMINARE :: >> non hai disabilitato il Ripristino conf.sistema


:: PRIMA FASE :: >> allega i relativi log

[Chill-Out]

Originariamente inviato da andy1991

.....Avete qlke altro link di prodotti gratuiti ke possano pulirmi il pc da eventuali trojan o cose del genere???

Segui passo passo la Guida in prima pagina, redatta appositamente per questa infezione.

[andy1991]

Originariamente inviato da Chill-Out

Segui passo passo la Guida in prima pagina, redatta appositamente per questa infezione.

ok....qndi nn dovrebbero esserci rischi se lo connetto a internet???

Poi ti faccio sapere cm è andata...

[turbido]

Ciao a tutti.

Avira mi rileva che sono infetto dal virus BOO Sinowall.E e non riesco ad eliminarlo. Allego i log delle scansioni.

log NOD32:
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion

log MBR
copy of MBR has been found in sector 0x0DF9F404
malicious code @ sector 0x0DF9F407 !
PE file found in sector at 0x0DF9F41D !

log AVIRA

record master di avvio dell'hard disk 1
Contiene il codice del settore di avvio BOO/SINOWAL.E
Record di avvio 'c:\'

[Chill-Out]

Originariamente inviato da turbido

Ciao a tutti.

Avira mi rileva che sono infetto dal virus BOO Sinowall.E e non riesco ad eliminarlo. Allego i log delle scansioni.

log NOD32:
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion
Settore MBR del disco fisico 2 - Win32/Mebroot.BZ trojan horse - action selection postponed until scan completion

log MBR
copy of MBR has been found in sector 0x0DF9F404
malicious code @ sector 0x0DF9F407 !
PE file found in sector at 0x0DF9F41D !

log AVIRA

record master di avvio dell'hard disk 1
Contiene il codice del settore di avvio BOO/SINOWAL.E
Record di avvio 'c:\'

Segui passo passo la Guida in prima pagina, ed allega i log nel rispetto delle Regole di sezione (no log compressi)

[turbido]

Allego il log di gmer.

[Chill-Out]

Originariamente inviato da turbido

Allego il log di gmer.

Seguire la Guida consiste nel mettere in pratica tutti i passaggi descritti in prima pagina, ovvero:

:: FASE PRELIMINARE ::

:: PRIMA FASE :: >> allega i relativi log, prestando attenzione ai passaggi

Come detto in precedenza no log compressi.

[turbido]

non riesco a fare l'upload se non lo comprimo!

[Chill-Out]

Originariamente inviato da turbido

non riesco a fare l'upload se non lo comprimo!

NOTA BENE:
1 - AL FINE DI MANTENERE IL THREAD ORDINATO E FRUIBILE HOSTATE I LOG SOLO ED ESCLUSIVAMENTE IN FORMATO .TXT SU http://fileqube.com/ in alternativa su http://wikisend.com/ PUBBLICANDO PER OGNI LOG IL LINK CHE VERRA' RILASCIATO PER IL DOWNLOAD

2 - E' OPPORTUNO LEGGERE ATTENTAMENTE TUTTA LA GUIDA

[arles10]

ciao a tutti
prevx mi rileva questo:

c:\system volume information\_restore{14d0b1bf-683b-4497-bf30-a3b800d687a2}\rp456\a0090602.exe [PX5: 1A832CB0009A39B2E2110D9A4CD8B4008A9BC6DC] Malware Group: Medium Risk Malware

come faccio a trovarlo per eliminarlo manualmente?


grazie

[turbido]

log GMER
gmer log up.txt

log PREVX
prevxup.txt