[risolto][win XP] Scansione con antivir rootkit consiglio

[Chill-Out]

Stò cercando di capire da dove escono quelle 2 chiavi già viste in altri log ma con nomi diversi ovviamente oltre a quello di alvaruccio

[Nuz]

Poco fa ho trovato un log con due voci simili:

http://www.megalab.it/forum/viewtopi...689bff721d02de

Edit: Anche qui:

http://www.hwupgrade.it/forum/showpo...8&postcount=86

[Nuz]

Ho fatto altri tentativi, anche usare un punto di ripristino dove ero sicuro che il problema non ci fosse.
Ulteriori dettagli sugli errori che mi da:





Purtroppo San Google questa volta pare che non faccia miracoli.
La vedo dura.

[Chill-Out]

In questo caso Avenger è inutilizzabile si può provare con un Fix.reg

[Nuz]

Ho fatto dei tentativi in questo senso, ma senza successo. Si può riprovare magari sbaglio io.

[Chill-Out]

Originariamente inviato da Nuz

Ho fatto dei tentativi in questo senso, ma senza successo. Si può riprovare magari sbaglio io.

In che senso?

[Nuz]

Ti posto il backup delle chiavi di registro.
Io ho provato a sostituire al valore hex sia dei valori a caso, sia un valore dword.
Però succede che mi ritrovo due chiavi {90D53889-1BD5-57D4-0853-621149B3138D} nella stessa posizione e se faccio elimina su una delle due succede che una sparisce mentre resta sempre quella bloccata.

[Chill-Out]

Non c'è bisogno di ricordarlo ma non si sa mai, quindi procedi con una copia del Registro di Sistema

Facciamo questo tentativo

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=-
"iamioceicnockmgolf"=-

salva il file col nome di fix.reg in C:\

Poi inserisci in Avenger questo Script

Programs to launch on reboot:
C:\fix.reg

[Nuz]

Ho fatto poco fa un tentativo simile. Questo è quello che ho usato:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=
"iamioceicnockmgolf"=

[HKEY_USERS\S-1-5-21-789336058-1604221776-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=
"iamioceicnockmgolf"=

Non ho messo il trattino dopo l'uguale.
Ora riprovo.

[Chill-Out]

Devi inserire il trattino, io mi sono limitato ad una chiave per vedere se sortisce gli effetti sperati se si andiamo via anche con l'altra

[Nuz]

Purtroppo succede quello che ho scritto nel post #27.
Comincio a pensare che sia danneggiato il registro. Altrimenti non mi spiego come mai non si riescono a cancellare nemmeno usando un cd bootable (ubcd4win).

[Chill-Out]

Originariamente inviato da Nuz

Purtroppo succede quello che ho scritto nel post #27.
Comincio a pensare che sia danneggiato il registro. Altrimenti non mi spiego come mai non si riescono a cancellare nemmeno usando un cd bootable (ubcd4win).

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=
"iamioceicnockmgolf"=

[HKEY_USERS\S-1-5-21-789336058-1604221776-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=
"iamioceicnockmgolf"=

hai inserito questo, ovviamente con trattino?

[Nuz]

Si.

[Chill-Out]

Originariamente inviato da Nuz

Si.

prova così:

Windows Registry Editor Version 5.00

[- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]

[Nuz]

col trattino davanti HKEY_CURRENT_USER?

[Chill-Out]

Originariamente inviato da Nuz

col trattino davanti HKEY_CURRENT_USER?

si

[Nuz]

Neanche ora è andata bene. Non mi ha aggiunto un'altra chiave identica, come era successo prima, ma resta ancora l'errore.

[Chill-Out]

Quindi la situazione attuale è questa:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=hex:6b,61,63,65,6e,6e,68,67,66,63,68,6e,66,64,62,66,62,67,67,67,65,69,00,00
"iamioceicnockmgolf"=hex:6b,61,63,65,6e,6e,68,67,66,63,68,6e,66,64,62,66,62,67,67,67,65,69,00,00

[HKEY_USERS\S-1-5-21-789336058-1604221776-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
"jaoaknbfloeapigbbjif"=hex:6b,61,63,65,6e,6e,68,67,66,63,68,6e,66,64,62,66,62,67,67,67,65,69,00,00
"iamioceicnockmgolf"=hex:6b,61,63,65,6e,6e,68,67,66,63,68,6e,66,64,62,66,62,67,67,67,65,69,00,00

[Nuz]

Purtroppo si.

Edit: ho già pronto tutto il necessario per l'eutanasia.
Ehm volevo dire il formattone.

[Chill-Out]

Originariamente inviato da Nuz

Purtroppo si.

Potresti provare il fix.reg da un altro account

[- HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]
[- HKEY_USERS\S-1-5-21-789336058-1604221776-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{90D53889-1BD5-57D4-0853-621149B3138D}]