Guida alla rimozione MASTER BOOT RECORD ROOTKIT - MBR ROOTKIT

[Chill-Out]

@Angelus88

Si può risolvere, leggi qui: http://www.hwupgrade.it/forum/showth...&highlight=mbr
http://www.hwupgrade.it/forum/showpo...6&postcount=21
non l'ho volutamente inserito in Guida perchè come tu ben sai la procedura è un pò più laboriosa, prevede l'utilizzo del CD di Win che ovviamente devi avere (anche se a questo si può rimediare) accesso alla Console etc......

in sostanza procedura fattible ma non rivolta alla massa imho

[Angelus88]

Ecco immaginavo!

Grazie e complimenti per la guida comunque

[Chill-Out]

Originariamente inviato da Angelus88

Ecco immaginavo!

Grazie e complimenti per la guida comunque

Prego

[juninho85]

Originariamente inviato da Chill-Out

No juninho85 non ho avvistato nessuna DLL, la DLL in questione è relativa alla rilevazione di Symantec come Trojan.Mebroot si sono sicuramente ingegnati a cambiare ancora le carte in tavola.

esatto,la dll veniva usata come driver per la prima variante

[BEY0ND]

che dire...ottimo lavoro chill-out

[ottobre_rosso]

Chill-Out, rinnovo i miei complimenti.

[lancetta]

Ottimo socio...bel lavoro... intanto sembra che giri una variante con criptazione dati nell'mbr

[sampei.nihira]

I miei complimenti a Chill-Out.

Solitamente non intervengo mai in questa sezione.
Oggi violo questa regola.
Sarà naturalmente un eccezione che conferma la regola.

Vorrei intervenire in merito a Gmer.
Nella pagina principale è riportato che Gmer non necessita d'installazione.

Vorrei esortare gli utenti a controllare nella cartella Windows se presente il file di disinstallazione di Gmer.

Si dovrebbe chiamare unistall gmer ecc ecc
Non posso verificare io stesso, perchè attualmente nell'unico pc rimasto sotto windows, non ho installato Gmer (e non lo voglio installare).
Il tool si deve disinstallare UNICAMENTE attraverso questo unistall.

Anzi in caso di aggiornamento sarebbe buona norma PRIMA disinstallare la vecchia versione e poi procedere ad inserire nel pc quella nuova.

Per ciò che ho sopra riportato non sò se è corretto scrivere che "Gmer non necessita di una installazione".

A voi le verifiche, le decisioni, e magari un eventuale aggiunta in prima pagina per l'autore del 3D.

[juninho85]

non necessità di installazione nel senso che clicci sull'eseguibile ed è pronto per l'utilizzo.
comunque crea tre file nella directory di windows:la dll,l'unistall e il log.
l'unistall penso che serva soltanto per rimuovere alcune chiavi di registro...anche se si eliminano manualmente i file penso che non succeda nulla

[sampei.nihira]

Originariamente inviato da juninho85

non necessità di installazione nel senso che clicci sull'eseguibile ed è pronto per l'utilizzo.
comunque crea tre file nella directory di windows:la dll,l'unistall e il log.
l'unistall penso che serva soltanto per rimuovere alcune chiavi di registro...anche se si eliminano manualmente i file penso che non succeda nulla

Grazie della verifica '85.

[nV 25]

Originariamente inviato da Chill-Out

...

Effettivamente il tuo contributo su questo forum è notevole....

[Chill-Out]

Originariamente inviato da lancetta

Ottimo socio...bel lavoro... intanto sembra che giri una variante con criptazione dati nell'mbr

a quel punto credo che l'unica soluzione sia l' overwrites

[Chill-Out]

Mille grazie a tutti

[Dylan76]

http://www.fileup.itadib.com/downloa...uRaIcv5NWGrZMD Prevxcsi
http://www.fileup.itadib.com/downloa...u8zuLGm02rH72j GMER
http://www.fileup.itadib.com/downloa...HB69K9J6STpWOV MBR dopo mod.provvisoria
http://www.fileup.itadib.com/downloa...e2LbpIjZ0L0YP0 fixmebroot
Prevxcsi dopo la pulizia mi da risultato negativo
Cureit non sono riuscito ancora a finire la scansione,appena terminata vi aggiungo il log

[Chill-Out]

Dire che andiamo bene, attendiamo il log di CureIt ed un'altro log di Gmer per il controllo, ciao.

complimenti anche da parte mia...non solo per il thread ma anche per l impegno in questa sezione in generale...

[elwitt]

Salve sono l'ennesima vittima di questo maledetto rootkit. Ho seguito la prima fase della vostra guida e come consigliato prima di procedere vi metto quello che ho trovato. Nella scansione con Prevx CSI non mi ha individuato nulla mentre con quella di Gmer mi ha riportato quanto segue:

Disk \Device\Harddisk0\DR0 sector 00: MBR rootkit code detected <-- ROOTKIT !!!
Disk \Device\Harddisk0\DR0 sector 61: malicious code @ sector 0x1d383773 size 0x1ca
Disk \Device\Harddisk0\DR0 sector 62: copy of MBR

Prima di andare avanti aspetto vostre indicazioni.
Ho allegato il file log della scansione con gmer. Occorre anche quello di Prevx CSI anche se non mi ha trovato nulla?
http://www.fileup.itadib.com/downloa...VcpuFFPtlZbU0k
http://www.fileup.itadib.com/downloa...Uz4FUWz5b9haZf

Nel primo c'è il logsave di gmer nel secondo di csi

Grazie anticipatamente e aspetto vostre notizie per andare avanti

[Chill-Out]

Originariamente inviato da elwitt

Salve sono l'ennesima vittima di questo maledetto rootkit. Ho seguito la prima fase della vostra guida e come consigliato prima di procedere vi metto quello che ho trovato. Nella scansione con Prevx CSI non mi ha individuato nulla mentre con quella di Gmer mi ha riportato quanto segue:

Disk \Device\Harddisk0\DR0 sector 00: MBR rootkit code detected <-- ROOTKIT !!!
Disk \Device\Harddisk0\DR0 sector 61: malicious code @ sector 0x1d383773 size 0x1ca
Disk \Device\Harddisk0\DR0 sector 62: copy of MBR

Prima di andare avanti aspetto vostre indicazioni.
Ho allegato il file log della scansione con gmer. Occorre anche quello di Prevx CSI anche se non mi ha trovato nulla?
http://www.fileup.itadib.com/downloa...VcpuFFPtlZbU0k
http://www.fileup.itadib.com/downloa...Uz4FUWz5b9haZf

Nel primo c'è il logsave di gmer nel secondo di csi

Grazie anticipatamente e aspetto vostre notizie per andare avanti

Ciao elwitt dal log di Gmer si evince che sei infetto dall' MBR Rootkit, segui le indicazioni della :: SECONDA FASE :: ricorda di allegare i log, ciao.

[Chill-Out]

Originariamente inviato da ShoShen

complimenti anche da parte mia...non solo per il thread ma anche per l impegno in questa sezione in generale...

Thx

[elwitt]

Ho seguito le altre fasi e ora dovrei essere a posto perchè nè dottorweb nè avast nè gmer me lo segnala più quindi non credo che sia più necessario postare gli altri log
Grazie mille per l'utilissima guida
Volevo chiedervi però se c'è un metodo per prevenire di prendermelo di nuovo. Di sicuro ora levo explorer e metto mozilla firefoxe mi hanno detto essere migliore