W7 - Nuovo utente con dati vecchio utente

[ErodeGrigo]

Ciao....

Ho l'utente "Pino" di un sistema windows con un virus penso preso da facebook, potrebbe essere dovuto al video fake di bin laden....o altro video.

Ho bloccato l'eseguibile estraneo che parte all'avvio di Windows, ma loggandomi come "Pino" mi ritrovo tutti i file del sistema nascosti ed il desktop nero di cui non posso modificare lo sfondo e neanche il tasto destro va più.

Per risolvere velocemente la questione ho deciso quindi di trasferire i file di "Pino" - cartelle: Desktop, Documenti e Preferiti - in un nuovo utente "user", quindi cancellare l'utente "Pino" e rinominare "User" in "Pino".

Ovviamente metto in conto che dovrò rifare qualche impostazione e magari qualche programma è da reinstallare sopra quello esistente.....

PROBLEMA:

1) Quando mi loggo come "user" il menù di win è praticamente senza voci, vorrei avere nel menù di "user" tutte le voci che ho nel menù di "Pino", come posso fare?

2) Che altro dovrei copiare dal vecchio utente?...ad esempio so già che firefox salva le preferenze dentro la cartella personale dell'utente che lo installa

Bye.

[AMIGASYSTEM]

Ti sei beccato uno dei più rognosi falsi antivirus che gironzolano per la rete,i nomi variano,potrebbe essere Analyzing PC Performance & Stability Report,oppure PC Performance & stability analysis report,ma potrebbe avere un'altro nome,ti conviene copiare i dati sensibili da qualche parte al sicuro e formattare,difficilmente rimettererai in sesto il tuo sistema come prima,basterà uno scandisk per corrompere il filesystem con il rischio che il sistema non parta più.Tutti I files del sistema oltre ad essere nascosti,si trovano in una finta unità virtuale creata dall'infeziione.QUI nella parte finale del topic ho partato di questo virus,troverai dei link,per come rimuovere il virus e tutte le chiavi create dall'Imbecille,però ripeto il sistema non ritornerà più come prima,dovrai togliere il flag "nascosto" a tutti i files e cartelle del PC e non solo.I menù Start saranno sempre vuoti,anche dopo aver creato nuovi utenti,anche dopo aver tolto il flag di nascosto a tutti ifiles,nonostante i programmi stiano lì al loro posto,solo i programmi di protezione sono stati corrotti,come anche driver e altro ancora,l'infezione colpisce anche i sistemi a 64Bit,l'ultimo capitatomi aveva questo sistema,dove è stato solo risparmiato dalla finta unità virtuale,ma forse è solo un caso,o una variante dell'infezione.

[ErodeGrigo]

Originariamente inviato da AMIGASYSTEM

Ti sei beccato uno dei più rognosi falsi antivirus che gironzolano per la rete,i nomi variano,potrebbe essere Analyzing PC Performance & Stability Report,oppure PC Performance & stability analysis report,ma potrebbe avere un'altro nome,ti conviene copiare i dati sensibili da qualche parte al sicuro e formattare,difficilmente rimettererai in sesto il tuo sistema come prima,basterà uno scandisk per corrompere il filesystem con il rischio che il sistema non parta più.Tutti I files del sistema oltre ad essere nascosti,si trovano in una finta unità virtuale creata dall'infeziione.QUI nella parte finale del topic ho partato di questo virus,troverai dei link,per come rimuovere il virus e tutte le chiavi create dall'Imbecille,però ripeto il sistema non ritornerà più come prima,dovrai togliere il flag "nascosto" a tutti i files e cartelle del PC e non solo.I menù Start saranno sempre vuoti,anche dopo aver creato nuovi utenti,anche dopo aver tolto il flag di nascosto a tutti ifiles,nonostante i programmi stiano lì al loro posto,solo i programmi di protezione sono stati corrotti,come anche driver e altro ancora,l'infezione colpisce anche i sistemi a 64Bit,l'ultimo capitatomi aveva questo sistema,dove è stato solo risparmiato dalla finta unità virtuale,ma forse è solo un caso,o una variante dell'infezione.

Si....è uno di questi. Corrisponde tutto quello che hai detto, anche la variante del sistema operativo a 64 bit.

Quindi conviene il formattone?....le istruzioni per rimuovere il fake sono semplici e chiare.

Bye.

[AMIGASYSTEM]

Originariamente inviato da ErodeGrigo

Si....è uno di questi. Corrisponde tutto quello che hai detto, anche la variante del sistema operativo a 64 bit.

Quindi conviene il formattone?....le istruzioni per rimuovere il fake sono semplici e chiare.

Bye.

Si,togli l'infezione,con la pulizia registro e la cancellazione dei due esequibili dello 'nfamone che si trovano in ProgramData (disattivandoli prima dal task manager ),uno ha un nome numerico e l'altro un nome di sole lettere senza senso,come diciamo noi in dialetto a capocchia.Finita la pulizia non si risolve il problema dei file nascosti e dei menù desertificati,facendo una pulizia con Combofix ero riuscito a far tornare tutti le icone del desktop "normali",ma dopo un riavvio,sparivano dal desktop come tanti palloncini punti da spille,bello spettacolo,ma poi ho dovuto rifare la pulizia daccapo.Comunque rimane il fatto che alcuni sistemi si ingrippano irriparabilmente dopo uno scandisk con opzione ripara filesystem,successo al momento con WinVista 32.bit

[Khronos]

Originariamente inviato da ErodeGrigo

Ciao....

Ho l'utente "Pino" di un sistema windows con un virus penso preso da facebook, potrebbe essere dovuto al video fake di bin laden....o altro video.

Ho bloccato l'eseguibile estraneo che parte all'avvio di Windows, ma loggandomi come "Pino" mi ritrovo tutti i file del sistema nascosti ed il desktop nero di cui non posso modificare lo sfondo e neanche il tasto destro va più.

risolto ieri sera lo stesso "problema" su un pc con XP.
troppo bello come si ingegnano per far sclerare la gente.
allora:
il "malware" l'ho estirpato in modalità provvisoria con Combofix, una passata ed è semplicemente sparito. ma bastava anche ccleaner, era solo UN FILE ESEGUIBILE nei TEMP di IE.

nel registro di windows, in
CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
(o in LOCAL_MACHINE, sempre stesso sottoindirizzo poi)
cerca la chiave
"nodesktop" e settala a ZERO (0) dovrebbe esistere e essere stata settata a 1 dal malware.

POI

hai tutte le cartelle del TUO UTENTE con "attributo nascosto".
semplicemente togli la spunta "nascosto" dalle cartelle del desktop, del menu avvio, dei documenti, dei preferiti.....

è una figata questo virus, complimenti a chi l'ha creato. con così poco si manda in palla un sistema senza UAC...

ciao

[AMIGASYSTEM]

Originariamente inviato da Khronos

risolto ieri sera lo stesso "problema" su un pc con XP.
troppo bello come si ingegnano per far sclerare la gente.
allora:
il "malware" l'ho estirpato in modalità provvisoria con Combofix, una passata ed è semplicemente sparito. ma bastava anche ccleaner, era solo UN FILE ESEGUIBILE nei TEMP di IE.

nel registro di windows, in
CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
(o in LOCAL_MACHINE, sempre stesso sottoindirizzo poi)
cerca la chiave
"nodesktop" e settala a ZERO (0) dovrebbe esistere e essere stata settata a 1 dal malware.

POI

hai tutte le cartelle del TUO UTENTE con "attributo nascosto".
semplicemente togli la spunta "nascosto" dalle cartelle del desktop, del menu avvio, dei documenti, dei preferiti.....

è una figata questo virus, complimenti a chi l'ha creato. con così poco si manda in palla un sistema senza UAC...

ciao

Si,non è solo quello delle temp,i due principali eseguibili sono in ProgramData,hai preso in tempo l'infezione,non aveva ancora creato la partizione virtuale che sostituisce il C:\.
In pratica cercando tutti i .EXE della partizione del sistema,questi erano tutti in percorso di una partizione Virtuale.Poi non si può togliere manualmente a tutti i file e cartelle di windows il flag di sola lettura o file nascosto,come tu sai alcuni file per proteggersi devono rimanere flaggati,non credo sia possibile sapere a quali farlo a quali non farlo,lo so che basta nascondere i file di sistema e farlo poi a tutti i rimanenti,ma non mi sembra una cosa fatta bene.

[ErodeGrigo]

Porkaccia la miseria ladra.....

Il tizio che si era beccato il malware si è fatto fregare ancora allo stesso modo.

Adesso mi ritocca backuppare i dati, riformattargli l'hd e reinstallare winzozz.....

Ma c'è qualche antivirus o antimalware che riesce a rilevare e bloccare sto zozzo di malware?......

Sul pc gli avevo messo avire-free, con cui non ho avuto mai nessun problema, ma evidentemente non ha ben lavorato....

Thanks.

Bye.

[Khronos]

anche su quello che c'ho lavorato io c'era avira free. a quanto pare la pattern è bella nuova e non c'è stato modo di beccarla, ha fregato pure l'euristica.

domanda, ma il tuo sistema è XP?

[AMIGASYSTEM]

Io ho riscontrato questa infezione tutte su macchine che avevano Avira o McAfee,sistema operativo Xp,Vista e Win7 32 e 64Bit.Quelli dove il C:\ veniva sostituito da una unità virtuale, è risultato più grave, infatti lo scandisk è stato fatale, si è bloccato durante la procedura rendendo il sistema inservibile e non più riparabile.Per scoprire i files nascosti con un clikke, si può usare Unhide, mentre per disattivare l'amico friz e company si può usare RKill, QUI trovate i link delle due utility ed altre informazioni sul carognone.Cosa simpatica, quando si chiede di ripristinare il sistema, oltre al il C:\ compare anche quello virtuale "finto", il ripristino rimetterà l'infezione, la cosa buffa che tutti i files nascosti risultano stare nella unità virtuale, anzichè c:\, basta fare un search per vedere il percorso affibbiato a tutti i file del sistema.
In ogni caso non si tratta di infezione, ma solo di una comune installazione di programma di protezione, che promette di ripulire il tuo sistema, al riavvio si impossessa di tutto il sistema , mentre i bei antivirus di Windows dormono in attesa che il sistema li risvegli, ma ormai sono stati segati.

[ErodeGrigo]

Originariamente inviato da Khronos

anche su quello che c'ho lavorato io c'era avira free. a quanto pare la pattern è bella nuova e non c'è stato modo di beccarla, ha fregato pure l'euristica.

domanda, ma il tuo sistema è XP?

YES!

Originariamente inviato da AMIGASYSTEM

Io ho riscontrato questa infezione tutte su macchine che avevano Avira o McAfee,sistema operativo Xp,Vista e Win7 32 e 64Bit.Quelli dove il C:\ veniva sostituito da una unità virtuale, è risultato più grave, infatti lo scandisk è stato fatale, si è bloccato durante la procedura rendendo il sistema inservibile e non più riparabile.Per scoprire i files nascosti con un clikke, si può usare Unhide, mentre per disattivare l'amico friz e company si può usare RKill, QUI trovate i link delle due utility ed altre informazioni sul carognone.Cosa simpatica, quando si chiede di ripristinare il sistema, oltre al il C:\ compare anche quello virtuale "finto", il ripristino rimetterà l'infezione, la cosa buffa che tutti i files nascosti risultano stare nella unità virtuale, anzichè c:\, basta fare un search per vedere il percorso affibbiato a tutti i file del sistema.
In ogni caso non si tratta di infezione, ma solo di una comune installazione di programma di protezione, che promette di ripulire il tuo sistema, al riavvio si impossessa di tutto il sistema , mentre i bei antivirus di Windows dormono in attesa che il sistema li risvegli, ma ormai sono stati segati.

Quindi con Unhide, Rkill e MAM dici che si può tornare ad un sistema pulito? Qualcuno affermava che l'unica soluzione sicura era la formattazione....

Bye.

[AMIGASYSTEM]

Originariamente inviato da ErodeGrigo

YES!



Quindi con Unhide, Rkill e MAM dici che si può tornare ad un sistema pulito? Qualcuno affermava che l'unica soluzione sicura era la formattazione....

Bye.

Non è certo,la maggior parte li ho rimessi in piedi e sembrano tornati a posto, però dipende da come stanno combinati, non tutti hanno la partizione virtuale, Unhide serve solo a scoprire i file nascosti, Rkill abbatte il virus in esecuzione e Malwarebyte dovrebbe fare la pulizia, ma pare che ancora non sia pronto per sdradicare sto cagno di virus, bisogna aiutarlo eliminando tutte le chiavi elencate negli articoli linkati.