stranissimo rootkit individuato e poi scomparso? senza disinfezione

[nV 25]

secondo me non è normale che (ad es) HP non parta...

C'è poi una voce HIDDEN nel report di avast...

Non lo so, ma secondo me non hai risolto del tutto...

Asp

[nV 25]

boh, fai un giro di Malwarebyte...

Che operazioni hai compiuto per ripristinare i permessi che dicevi non ti risultavano attribuiti?

[nV 25]

Originariamente inviato da stubborn74

"registrati su hwupgrade,c è un sacco di gente ingamba,come metti un post arrivano subito un sacco di soluzioni".

capirai che, come ti ha detto il moderatore che peraltro è di fatto l'unica anima pia che si preoccupa di seguirvi, noi diamo i ns modesti contributi in f del ns tempo libero.

Per quanto mi riguarda, poi, intervengo pochissimo vuoi perchè preferisco evitare sul nascere problemi come questi (=infettarsi, per quello che mi è possibile), vuoi perchè non ho la minima voglia di fare help desk...nè mi intendo più di tanto della materia.

Ringrazia se 2 persone diverse per ora ti hanno risposto...

[nV 25]

sono un Santo e, pertanto, ti ho trovato anche questo tool lanciabile da DOS:
HiddenFsReader

Prova...
(PS: il fine del tool sopra è quello di verificare la presenza di eventuali partizioni nascoste)

[stubborn74]

Originariamente inviato da nV 25

sono un Santo e, pertanto, ti ho trovato anche questo tool lanciabile da DOS:
HiddenFsReader

Prova...
(PS: il fine del tool sopra è quello di verificare la presenza di eventuali partizioni nascoste)

allora,innanzitutto ovviamente grazie per i tentativi di help desk,comunque andrà la cosa è bene tentare perchè la cosa peggiore è sicuramente avere un rootkit nel computer. avrei una domanda... hai scritto che il tool (ke ho appena scaricato) è lanciabile da comando dos...
essendo io ancor piu profano di voi chiedo: come si lancia un tool da dos?

[stubborn74]

ho provato a fare partire il tool di eset che mi hai gentilmente fornito... non ne vuole sapere nemmeno lui di girare,si apre una finestra nera e poi si chiude ma non parte.

[nV 25]

il tool non parte da windows...

Semplicemente, al boot della macchina premi a ripetizione il tasto F8 sperando che tra le varie voci ti compaia la possibilità di lanciare appunto il prompt dei comandi (a regola, start windows with command prompt), in caso contrario la storia è più laboriosa.

Secondo me, a questo punto fai prima a formattare (a basso livello) piallando di conseguenza anche il MBR...

[stubborn74]

Originariamente inviato da nV 25

il tool non parte da windows...

Semplicemente, al boot della macchina premi a ripetizione il tasto F8 prompt dei comandi (a regola, start windows with command prompt)

fin quì ci arrivo,ma da prompt dei comandi qual è il comando?

[nV 25]

a regola è sufficiente spostarsi nella locazione del file e scrivere il nome dell'eseguibile seguito da "enter".

Prova eventualmente a digitare il nome seguito da "?" per vedere se c'è qualche comando particolare...

[Chill-Out]

Originariamente inviato da nV 25

Secondo me, a questo punto fai prima a formattare (a basso livello) piallando di conseguenza anche il MBR...

Gmer sfarlocca

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: WDC_WD1600BEVS-60RST0 rev.04.01G04 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-4

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

[stubborn74]

Originariamente inviato da Chill-Out

Gmer sfarlocca

GMER 1.0.15.15227 - http://www.gmer.net
Rootkit quick scan 2012-10-20 19:04:46
Windows 6.0.6002 Service Pack 2
Running: gmer.exe; Driver: C:\Users\poltel\AppData\Local\Temp\uxlcapoc.sys


---- Disk sectors - GMER 1.0.15 ----

Disk \Device\Harddisk0\DR0 sector 00: MBR rootkit code detected

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\fastfat \Fat fltmgr.sys (Gestione filtri file system Microsoft/Microsoft Corporation)
AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Runtime framework driver modalità kernel/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----
--------------------------------------------------------------------------------------------------------------------------------------

(SETTORE INCRIMINATO COPIATO DA GMER)


3ÀŽÐ¼ |ŽÀŽØ¾ |¿ ¹ üó¤PhËû¹ ½¾€~ |…ƒÅâñ͈V UÆFÆF ´A»ªUÍ]r�ûUªu ÷Á tþFf`€~ t&fh fÿvh h |h h ´BŠV ‹ôÍŸƒÄžë¸» |ŠV ŠvŠNŠnÍfasþN… €~ €„Š ²€ë‚U2äŠV Í]ëœ�>þ}Uªunÿv èŠ … °Ñædè °ßæ`èx °ÿædèq ¸ »Íf#Àu;f�ûTCPAu2�ùr,fh» fh fh fSfSfUfh fh | fah ÍZ2öê | Í*·ë*¶ë*µ2ä ‹ð¬< tü» ´Íëò+Éädë $àø$ÃInvalid partition table Error loading operating system Missing operating system bz™"B"B € þÿÿ? $ þÿÿþÿÿ•$¯Î7
þÿÿþÿÿDó¶}—ê Uª

[stubborn74]

Originariamente inviato da nV 25

a regola è sufficiente spostarsi nella locazione del file e scrivere il nome dell'eseguibile seguito da "enter".

Prova eventualmente a digitare il nome seguito da "?" per vedere se c'è qualche comando particolare...

non funziona in tutti i modi,ho fatto che scaricare il file sul desktop,quindi di conseguenza il suo percorso era C:/users/nome utente/desktop/nome file
fatto da prompt dei comandi in console di ripristino mi dice che il comando non è valido.

sarà,ma forse su win vistax86 non va questa procedura? boo....
comq che tempo fa a lucca? io il mese scorso ero in darsena

[Chill-Out]

Originariamente inviato da stubborn74

GMER 1.0.15.15227 - http://www.gmer.net
Rootkit quick scan 2012-10-20 19:04:46
Windows 6.0.6002 Service Pack 2
Running: gmer.exe; Driver: C:\Users\poltel\AppData\Local\Temp\uxlcapoc.sys


---- Disk sectors - GMER 1.0.15 ----

Disk \Device\Harddisk0\DR0 sector 00: MBR rootkit code detected

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\fastfat \Fat fltmgr.sys (Gestione filtri file system Microsoft/Microsoft Corporation)
AttachedDevice \Driver\kbdclass \Device\KeyboardClass0 Wdf01000.sys (Runtime framework driver modalità kernel/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----
--------------------------------------------------------------------------------------------------------------------------------------

(SETTORE INCRIMINATO COPIATO DA GMER)


3ÀŽÐ¼ |ŽÀŽØ¾ |¿ ¹ üó¤PhËû¹ ½¾€~ |…ƒÅâñ͈V UÆFÆF ´A»ªUÍ]r�ûUªu ÷Á tþFf`€~ t&fh fÿvh h |h h ´BŠV ‹ôÍŸƒÄžë¸» |ŠV ŠvŠNŠnÍfasþN… €~ €„Š ²€ë‚U2äŠV Í]ëœ�>þ}Uªunÿv èŠ … °Ñædè °ßæ`èx °ÿædèq ¸ »Íf#Àu;f�ûTCPAu2�ùr,fh» fh fh fSfSfUfh fh | fah ÍZ2öê | Í*·ë*¶ë*µ2ä ‹ð¬< tü» ´Íëò+Éädë $àø$ÃInvalid partition table Error loading operating system Missing operating system bz™"B"B € þÿÿ? $ þÿÿþÿÿ•$¯Î7
þÿÿþÿÿDó¶}—ê Uª

Appunto

[AK0]

Originariamente inviato da stubborn74

non funziona in tutti i modi,ho fatto che scaricare il file sul desktop,quindi di conseguenza il suo percorso era C:/users/nome utente/desktop/nome file
fatto da prompt dei comandi in console di ripristino mi dice che il comando non è valido.

Prova a copiare il file .exe in C.
Poi apri un CMD come amministratore ed esegui:
C:\ESETHfsReader.exe e premi invio.

(dovrebbe funzionare anche su Vista questo tool)

[stubborn74]

Originariamente inviato da AK0

Prova a copiare il file .exe in C.
Poi apri un CMD come amministratore ed esegui:
C:\ESETHfsReader.exe e premi invio.

(dovrebbe funzionare anche su Vista questo tool)

ora provo

[nV 25]

si, a regola il tool della ESET dovrebbe servire a lavare proprio il dubbio circa l'esistenza di un'eventuale partizione nascosta in cui si annidano le componenti dei Rootkit MBR...

C'è stato detto, cmq, che nel tuo sistema questa parte di infezione quantomeno non esiste (di fatto, dunque, il Rootkit è debellato).
Allo stesso tempo, xò, gli effetti disastrosi di quest'infezione sono visibili in tutta la sua virulenza perchè, stando almeno alle tue parole, non ti funzionano una marea di programmi (e HitmanPro, e...).

Un PC cosi', sinceramente, necessita secondo me di un trattamento particolare (= ripartire da 0) perchè a casa mia non lo vorrei certo...




Per il futuro, fai tesoro di quest'esperienza e cerca di premunirti battendo altre strade per proteggere la tua macchina.

Sul tool che ho indicato, ESET non presenta uno straccio di documentazione ma si limita a segnalare che è stato sviluppato proprio per indagare, vedi anche qui...e il suo seguito visto che le cose sono sempre in continua evoluzione...
Sorry..

[nV 25]

ho visto che stai portando avanti la solita discussione anche su Megalab.

Una cosa:
il comando corretto è BootRec /RebuildBcd e NON BootRec /Rebuildcd...

O li copi esatti, o è come non provare...

[stubborn74]

Originariamente inviato da nV 25

ho visto che stai portando avanti la solita discussione anche su Megalab.

Una cosa:
il comando corretto è BootRec /RebuildBcd e NON BootRec /Rebuildcd...

O li copi esatti, o è come non provare...

beh,non è che fosse il caso di reclamizzare il fatto che sto approfondendo l argomento su un altro forum,ad ogni modo (se leggi bene il tread alla seconda pagina),vedrai che il comando BootRec /RebuildCD mi è stao indicato così com è,difatti l ho segnalato io che era sbagliato. e se continui sempre sulla seconda pagina alla fine,vedrai che ho cercato il settore infetto che mi segnala GMER e l ho trovato.

una cosa importanfe da sapere : il mio pc funziona bene,apparte le questioni piu evvidenti.
e in ogni caso la cosa migliore è quella di estirpare il rootkit ovunque esso sia,se fosse nel bios come mebromi io il bios lo sostituisco. di certo non mi fermo sinche GMER (tool che negli stati uniti viene dato infallibile al 99,8 %) non mi dirà che è tutto pulito.
traduci il mio nick da inglese a italiano e capirai cosa intendo

[stubborn74]

p.s.
il sistema di AKO per far partire il programma di eset ha funzionato,ma è impossibile che ci abbia messo solo una frazione di secondo a finire,quindi non do fiducia a quel tool

[stubborn74]

eseguito gmer in console di ripristino (con cd di windows)