Attenzione è stata rilevata attività illecità

[Chill-Out]

Originariamente inviato da giobup2

Ciao Chill-Out, anche io ho questa infezione, ma con i codici della tua ultima risposta il pc non si sblocca (non ho provato tutti i codici....) Forse e' una nuova variante di infezione? Fammi sapere se trovi un sistema per sbloccare il pc . grazie

Stesso numero? Stesso messaggio?

[giobup2]

Sì, esattamente come ha scritto l'altro utente, stesso numero di cellulare e stesso messaggi. Sei sicuro dei codici? Devo provarli tutti forse? Magari uno solo e' quello buono?

[giobup2]

Ciao Chill-Out , ho provato tutti i codici da te suggeriti (tranne quello scritto in caratteri cirillici) ma nessuno ha funzionato. Sai se l'altro utente ha potuto pulire il suo pc?

[Chill-Out]

Originariamente inviato da giobup2

Sì, esattamente come ha scritto l'altro utente, stesso numero di cellulare e stesso messaggi. Sei sicuro dei codici? Devo provarli tutti forse? Magari uno solo e' quello buono?

Mica me li sono sognati Io li proverei tutti ma non è detto che ci sia quello giusto

Originariamente inviato da giobup2

Ciao Chill-Out , ho provato tutti i codici da te suggeriti (tranne quello scritto in caratteri cirillici) ma nessuno ha funzionato. Sai se l'altro utente ha potuto pulire il suo pc?

Non lo so

[giobup2]

Ciao, comunque ho risolto il problema con DiskExplorer NTFS: ho copiato il settore 1 del disco (contenente la tavola delle partizioni originale) sopra il settore 0 (contenente il Trojan.MBRLock), collegando il disco ad altro PC. Riavviato il pc e appaiono le 2 partizioni con tutti i file. Ora sto controllando con DrWeb che non ci siano file infetti rimasti sul disco. Grazie lo stesso, spero che sia utile ad altri. ciao

[bigcaruso]

Non ho avuto modo di leggere la posta e quindi di provare i codici, in quanto ero fuori per lavoro.
Mi fa piacere che giobup2 abbia risolto e ti chiedo di essere più chiaro sulla modalità di risoluzione.
Hai collegato l'HDD infetto ad un PC sano, hai lanciato il programma DiskExplorer NTFS che ti consente, almeno così ho capito, di leggere i settori del disco anche se questo non è montato.
A questo punto hai copiato l'intero settore 1 sul settore 0.
Se mi dai conferma e anzi se riesci corredare il post con delle foto delle finestre del programma e se puoi delle allocazioni per evitare che un errore possa poi vanificare il tutto.
Grazie

[giobup2]

Ciao big,
per motivi di tempo non posso dirti passo per passo come fare, ne' inserire schermate. Comunque con DiskExplorer NTFS di www.Runtime.org e' abbastanza semplice, si "apre" il drive infetto, si copia il settore 1 sul settore 0 (ricordati di abilitare la scrittura delle modifiche nelle Options), con l'aiuto della guida in linea dovresti riuscirci senza problemi. Io ho salvato il settore 0 ed il settore 1 in due file separati, poi ho inserito il contenuto del file col settore 1 al posto del settore 0. Ciao

[bigcaruso]

Ho installato il programma DiskExplorer NTFS versione trial.
L'ho aperto ho settato modalità read/write da "tools" "option"; successivamente selezionare il drive cliccando su "drive" scegliere il disco (nel mio caso Il 3) cliccare "view" "has hex".
A questo punto vediamo il "sector 0" e il "sector 1" selezionare il sector 0 e cliccare con il tasto destro sulla parte selezionata (ble) "Copy" e poi "copy to file" salvare il settore in un file ( io l'ho chiamato Sector0), eseguire la stessa operazione per il settore 1 (chiamare il file sector1).
Ora abbiamo il backup dei 2 settori; se leggiamo il settore 1 nella parte destra vediamo le classiche diciture restituite da windows quando il boot fallisce (Invalid partition table Error loading operating system Missing operating system) da questo capiamo che nel settore 1 c'è la tabella delle partizioni spostata dal "RANSOMWARE".
Selezioniamo in ble il settore 0 cliccare con il Dx "paste to file" e scegliere il file del settore 1 (sector1). vedremo che nel settore 0 c'è ora la tabella delle partizioni.
Chiudere il programma disconnettere il disco ( se è collegato come nel mio caso in USB) o riavviare il PC.
Il disco è tuttora collegato come secondario e sto eseguendo scansione, vedo la partizione e il suo contenuto.
Non ho ancora provato a farlo bootare sulla sua macchina perchè il PC l'ho lasciato in cantinola, per ora ne visualizzo il contenuto e già sono contento.
Questo è il motivo per cui nel titolo ho scritto "risolto???" domani lo collego al mini pc e Vi faccio sapere.
Saluti

[bigcaruso]

Originariamente inviato da giobup2

Ciao big,
per motivi di tempo non posso dirti passo per passo come fare, ne' inserire schermate. Comunque con DiskExplorer NTFS di www.Runtime.org e' abbastanza semplice, si "apre" il drive infetto, si copia il settore 1 sul settore 0 (ricordati di abilitare la scrittura delle modifiche nelle Options), con l'aiuto della guida in linea dovresti riuscirci senza problemi. Io ho salvato il settore 0 ed il settore 1 in due file separati, poi ho inserito il contenuto del file col settore 1 al posto del settore 0. Ciao

Avevo capito bene e l'ho fatto poi dopo aver preparato e pubblicato una miniguida mi sono reso conto della tua risposta.
Tanto non fa mai male.
Grazie comunque

[bigcaruso]

Rimontato sul Minipc il sistema ha ripreso a funzionare.
Prima di montarlo l'ho scansionato con Avast, dal pc dove ho eseguito la sostituzione del "sector 0" e non ha trovato nulla, successivamente l'ho scansionato con "Avira CD rescue" aggiornato online in tempo reale e mi ha trovato 2 file infetti nella "\System Volume Information\_restore\xxx\A0068418.exe" definito "Trojan_horse TR/RANSOM.DV1.(rename)".
File che ho rimosso, ovviamente, prima di riavviare il sistema.
Concludo con il dire che, per ora, per questa ultima versione di "RANSOMWARE" nessun Cd di recupero, anche aggiornato, ha risolto il problema, ne ho provati 7.
La soluzione di sostituire l'MBR infetto con l'MBR originale, spostato dal ransom in un altro settore è veloce ed efficace.
Questa soluzione per quanto veloce e non particolarmente complessa è di per se molto rischiosa in quanto si rischia di compromettere il sistema definitivamente; per questo non mi assumo responsabilità pur rimanendo disponibile ad offrire qualsiasi aiuto e mettere a disposizione l'esperienza vissuta.
Un ringraziamento particolare a "giobup2" per il coraggio dimostrato, io ho avuto paura di collegarlo ad un PC con S.O. Windows, nonchè a "Chill-Out" che mi seguito e dato fiducia.

Saluti e grazie

P.S. per qualcuno dei MOD. Suggerirei di modificare o al completare il titolo del post magari aggiungendo la parola "Ransomware" per velocizzare la ricerca.

[Zivennoc]

Salve a ttt,
non sono esperto di informatica e non riuscirei mai ad eliminare ransomware con le indicazione postate in questa discussione.
Ho provato a seguire le istruzioni riportate nel seguente link:
http://trojan-killer.net/it/las-oper...removal-guide/
Effettivamente corrisponde tutto e quindi pensavo di poter fare da solo, ma proprio all'ultimo c'è una una differenza tra le istruzioni ed il mio caso di specie:
il file denominato "shell" si trova già in explorer.exe continuare come indicato nella guida penso non serva a nulla o cmq non essendo sicuro di ciò che stavo facendo ho preferito chiedere a voi, prima di compromettere ancor più il pc.
Cosa devo fare? continuare con la modifica o cercare "contacts.exe" in modalità provvisoria in tutto il sistema?

[Zivennoc]

Se la destinazione di "shell" è explorer.exe che significa?

[Felixman]

E' successa la stessa cosa a mio cugino attirato da un sito che avrebbe dovuto fargli vedere delle performance di Belen. Almeno così mi ha raccontato.
L'ho mandato al laboratorio di pc di amici miei con stampata la procedura di risoluzione del problema suggerita in questa discussione. Santo Forum.

Cqm qsa è una cosa pazzesca.

Nel frattempo Vi informo che c'è stato l'aumento: a lui chiedono 100,00 € per lo sblocco. Si, sa la vita è sempre più cara e bisogna in qualche modo difendersi

Mi piacerebbe sapere se a tutti quelli che hanno beccato questi virus avevano installato un antivirus ed eventualmente sapere quale.

Io personalmente nella mia vita non ho mai installato antivirus e (mi tocco nel frattempo) non ne ho mai beccati. e sono uno che smanetta parecchio.
Tanto per capire fino a che punto conviene farsi inutilmente rallentare il pc con antivirus

[luna00]

Originariamente inviato da Felixman

E' successa la stessa cosa a mio cugino attirato da un sito che avrebbe dovuto fargli vedere delle performance di Belen. Almeno così mi ha raccontato.
L'ho mandato al laboratorio di pc di amici miei con stampata la procedura di risoluzione del problema suggerita in questa discussione. Santo Forum.

Cqm qsa è una cosa pazzesca.

Nel frattempo Vi informo che c'è stato l'aumento: a lui chiedono 100,00 € per lo sblocco. Si, sa la vita è sempre più cara e bisogna in qualche modo difendersi

Mi piacerebbe sapere se a tutti quelli che hanno beccato questi virus avevano installato un antivirus ed eventualmente sapere quale.



Io personalmente nella mia vita non ho mai installato antivirus e (mi tocco nel frattempo) non ne ho mai beccati. e sono uno che smanetta parecchio.
Tanto per capire fino a che punto conviene farsi inutilmente rallentare il pc con antivirus

Si effettivamente l'aumento c'è stato (100 €)
Io ho panda ma in quel momento evidentemente era distratto......)
Comunque sono riuscito a fare un'analisi completa ed ha rilevato:
arg263371
fsa296745
jag56901
tutti exe
li ha catalogati come sospetti....... e messi in quarantena.
Ad ogni avvio di windows ho 3 messaggi di errore relativi a quei exe perchè non li trova; come posso risolvere il problema?
grazie

[Chill-Out]

Originariamente inviato da luna00

Si effettivamente l'aumento c'è stato (100 €)
Io ho panda ma in quel momento evidentemente era distratto......)
Comunque sono riuscito a fare un'analisi completa ed ha rilevato:
arg263371
fsa296745
jag56901
tutti exe
li ha catalogati come sospetti....... e messi in quarantena.
Ad ogni avvio di windows ho 3 messaggi di errore relativi a quei exe perchè non li trova; come posso risolvere il problema?
grazie

Allega un log di HiJackThis/HiJackFree >> http://www.hwupgrade.it/forum/showthread.php?t=1599737

Come allegare un log >> http://www.hwupgrade.it/forum/showthread.php?t=1751598

[garigo]

Dunque, stesso problema sul pc di un mio amico, tra l'altro dell'ufficio con tutte le fatture e compagnia bella, accidenti....devo stare attento a non combinare guai se no sono rovinato, il virus è quello della guardia di finanza (ho aperto già una discussione senza prima accorgermi che c'era già questa...sorry), quello che chiede i 100€.

Ho collegato l'hd al mio pc e mi vede le partizioni, quindi eventualmente potrei già salvare tutto.

Se lo faccio avviare in provvisoria mi da schermata blu, mentre normalmente compare subito la videata dove chiede di inserire il codice che mi blocca subito il pc.

All'hd infetto collegato al mio pc sono state assegnate le lettere I e L.

Di norma la lettera I dovrebbe essere la C (dell'hd infetto) e la L la partizione secondaria.

Invece è l'esatto contrario.

E' il virus che ha combinato questo casino?

E, considerato che posso accedere alle partizioni, come devo procedere?

[Wolf3]

VIRUS CON AUMENTO DEI 100€ COME SI RISOLVE?

AIUTO

[Felixman]

azzo che procedura. ma facilissima guarda. Vedi se riesci a riportare il pc a prima del problema. io ho risolto così. ripristino della configurazione devi fare

[angelino1]

ragazzi è successo anche a me ieri, solo perchè avevo sospeso l'attività del Kaspersky, ho risolto con il riavvio e la scansione a fondo del disco ecco cosa ha trovato ed eliminato Kaspersky;

Tipo: altro malware (1)
UDSangerousObject.Multi.Generic

Tipo: software che può causare problemi (2)
not-a-virus:HackTool.Win32.Agent.heur
not-a-virus:HackTool.Win32.Agent.heur

Tipo: Programma Trojan (15)
Trojan-Dropper.Win32.Dapato.bdal
Exploit.JS.Pdfka.fof
Exploit.JS.Pdfka.fof
Backdoor.Win64.ZAccess.bh
Backdoor.Win32.ZAccess.aug
Backdoor.Win64.ZAccess.at
Trojan-Dropper.Win64.ZAccess.a
Backdoor.Win32.ZAccess.cjj
HEUR:Backdoor.Win64.Generic
HEUR:Backdoor.Win64.Generic
Trojan-Dropper.Win32.ZAccess.gh
Trojan-Dropper.Win32.Dapato.bdal
Trojan-Dropper.Win32.Dapato.bdal
Trojan-Dropper.Win32.ZAccess.gh
Trojan-Dropper.Win32.ZAccess.gh

[fcorbelli]

Non hai configurato bene Windows, su questo forum ci sono parecchie guide da seguire in tal senso!