[risolto] rootkit CLBDRIVERS.SYS - reindirizzamento ricerche su google e siti web

lollo.pil · 04-06-2008, 12:08

Buongiorno a tutti, il problema che sto per esporre l'ho trovato piuttosto singolare... Partiamo dal principio...

Un amico mi ha dato in affidamento il suo portatile (Windows XP Media Centre Edition SP2 ) e ho subito notato lo stato pietoso in cui era: molti tipi di virus, recenti o meno, come ad esempio Sasser, alcuni debellati,alcuni a quanto pare no. Barra quasi completamente rossa della deframmentazione tramite Windows, che proprio in questo momento è in corso di svolgimento.

I problemi a cui non ho dato alcuna spiegazione sono i seguenti:

1) Mozzilla FireFox, nonostante un uninstall/reinstall dopo 2 secondi di clessidra NON parte, e non viene nemmeno visualizzato il processo sul TaskManager!

2) Apro un file col blocco note: note appare e scompare immediatamente... MAH!

3) Soprattutto, la connessione ad internet: la connessione c'è, tant'è vero che alcuni siti quali youtube, libero etc sono caricati correttamente... Peccato che i siti dei migliori antivirus come Kaspersky o Nod32 NON li carica!! E, tra l'altro, gli aggiornamenti non li carica (ho provato KAV, AVG, NOD32) e dice per tutti e 3 che non è possibile stabilire la connessione al server... PS - Ho volutamente bypassato il router, ma niente...

Capirete quindi che le scansioni le ho fatte in modalità provvisoria ma con antivirus NON aggiornati.. Ho anche usato spybot aggiornato tramite pacchetto scaricato dal mio PC.. Ho visto che anche AVG 8.0 Trial mi permette di aggiornare offline, mi fa scaricare un grosso file .bin, peccato che non c'è assolutamente scritto dove metterlo..

Alla luce di ciò, spero che qualcuno mi illumini!
Vi farò sapere anche se c'è qualche miglioramento post-defrag...

Ciao a tutti !

xcdegasp · 04-06-2008, 12:19

mi riporta alla mente un cattivo e pessimo malware, Segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti

GURUMEDITATION · 04-06-2008, 12:46

Salve,

Anch'io da 24 ore circa ho gli stessi problemi:

1) Le ricerche di google (in genere i primi 2 o 3 risultati) o altri motori vengono indirizzate ad altre pagine web.
Se si esamina il link generato dalla ricerca si evince questo indirizzo: "h_t_t_p_:_/_/_asiuoqgusdbaksd.com/go.php?u=" (gli underscore li ho messi io per non creare un link nel messaggio) seguiti da una 50ina di caratteri random.
Di solito si viene dirottati sempre su tre o 4 siti di suonerie, mp3 o comunque di ecommerce.

2)Il notepad non funziona più ,viene chiuso automaticamente alla partenza. Torna a funzionare rinominando l'eseguibile. Inoltre viene incluso in automatico fra le voci di PANNELLO CONTROLLO - SISTEMA - AVANZATE - PRESTAZIONI DI SITEMA - protezione esecuzione programmi.

3) I maggiori siti di antivirus o di scanning online per malware non sono più raggiungibili.
Anche il download di alcuni antivirus è impedito indipendentemente dal sito da cui si scarica il file.

4) HijackThis e SPYBOT non si installano, bisogna rinominare l'eseguibile per far partire l'installazione. Hijackthis funziona mentre spybot parte ma e' impossibile aprire l'interfaccia principale del programma.

Ho provato con hijackthis, ad-adware e PC TOOOLS SPYWARE DOCTOR di google.

Nessuno riesce a trovare la causa dei malfunzionamenti e comunque falliscono anche l'aggiornamento on line.
Come antivirus ho antivir, anche questo software non rileva niente di anomalo.

Provo a seguire le indicazioni del post precedente e poi vi dico.

P.S.

Avrei fatto prima a reinstallare un backup dell'O.S. ma capire da dove proviene la minaccia e debellarla è diventata una questione di principio.

lollo.pil · 04-06-2008, 13:10

Ciao e grazie per la risposta tempestiva.
Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.07.22, on 04/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
log rimosso, leggere le Regole di Sezione

--
End of file - 9170 bytes

PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata

lollo.pil · 04-06-2008, 13:20

@GURUMEDITATION
Punto1 - Anche a me reindirizzava ad altri siti, ma dopo una scansione con Nod32 NON aggiornato e SpyBot il problema, almeno quello, è stato risolto.
Punto3 - Anch'io ho questo problema che mi sta facendo innervosire parecchio, dà proprio pagina bianca e "Impossibile accedere etc etc"
Punto4 - A me questi 2 programmi funzionano senza problemi, lo stesso tuo problema lo ho, come già detto, con FireFox

Beato te che ti sei fatto 1 backup!
Ho già telefonato al mio amico allarmandolo per la formattazione e gli ho chiesto di cominciare a pensare ai file da mettere sulla scialuppa di salvataggio

GURUMEDITATION · 04-06-2008, 13:23

Quote:

Originariamente inviato da lollo.pil

Ciao e grazie per la risposta tempestiva.
Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti.

PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata

Ciao

Il log di hijackthis lo puoi esaminare on line al seguente indirizzo: http://www.hijackthis.de .

Ci sono tre o 4 cose da eliminare, dubito che siano la causa del malfunzionamento.

Il mio log è un susseguirsi di check verdi!!! Hijackthis non mi è stato di nessun aiuto.

lollo.pil · 04-06-2008, 13:41

Prima sì, ora non reindirizza più ma accede solamente a determinati siti.

xcdegasp · 04-06-2008, 13:45

Quote:

Originariamente inviato da lollo.pil

Ciao e grazie per la risposta tempestiva.
Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14.07.22, on 04/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
log rimosso, leggere le Regole di Sezione

--
End of file - 9170 bytes

PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata

segui la guida che ti ho linkato rispettando l'ordine d'esecuzione e pubblicando tutti i log anche se non riportassero nessun infezione

@ GURUMEDITATION:
idem vale per te

GURUMEDITATION · 04-06-2008, 13:50

Aggiornamento...

Per adesso sto cercando di scaricare aft-cleaner.... Il download è bloccato.

Ho provato anche con un download manager... idem.

Il sito di nod32 è irrangiungibile, ma dovrei recuperarlo su qualche cd di riviste d'informatica....

AGGIORNAMENTO....

RIUSCITO A SCARICARE atf-cleaner....

continuo....

GURUMEDITATION · 04-06-2008, 16:37

Ciao LOLLO.PIL

Qui c'e' un thread abbastanza interessante stesso nostro problema.

http://www.hwupgrade.it/forum/showthread.php?t=1738147

L'HO letto tutto ma non ho capito con che soft ha risolto il problema....

Antivir lo uso pure io e di sicuro non trova niente....

Per adesso ads scanner ha trovato duo o tre cose fra cui

c:windows\cursors\arrow_n.cur che non riesce a cancellare.

passo a A-Squared Free v3.x

sempre che si riesca a scaricare....

**Chill-Out** · 04-06-2008, 16:48

Seguite questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC

Ferra84 · 04-06-2008, 17:10

problema simile anche per me.Nel mio caso anche altri programmi si chiudono da soli.
Inoltre se faccio scan da modalità provvisoria si blocca

GURUMEDITATION · 04-06-2008, 23:39

Quote:

Originariamente inviato da Chill-Out

Seguite questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC

BENE.....

Questa è la soluzione giusta!!!!

A quanto pare il problema è stato risolto.

I siti antivirus sono raggiungibili, spybot è tornato a funzionare e non c'è più il fastidioso reindirizzo delle ricerche di google.

Trattasi di un rootkit annidato in clbdriver.sys, Antivir non è riuscito ad eliminarlo si è limitato a rinominarlo e questo è bastato a renderlo inoffensivo.

Purtroppo non avendo il floppy mi è stato impossibile salvare il log, molto probabilmente con altre informazioni sulla bestiola.

Comunque per chi è curioso ci sono maggiori informazioni qui:

http://www.prevx.com/filenames/X1112...RIVER.SYS.html

Attenzione il cd di antivir va scaricato con un altro computer, oppure avviando il PC da partizioni con sistemi operativi alternativi non contagiati, poichè se siete infetti il sito del download risulterà irrangiungibile. Ovviamente servono anche gli update delle definizioni dell'antivirus.

Quali sono la maggiori difficoltà per debellare il rookit:

1) Antivir, come molti altri anti adware non rilevano l'infezione, bisogna usare le apposite utility di rescue non avviando il PC da sistema operativo.

2) Vengono bloccate molte pagine relative ad antivirus e adware/malware, ciò rende difficile reperire informazioni e scaricare i software adatti a debellarlo.

Questo è tutto.

Ciao.

xcdegasp · 04-06-2008, 23:45

ottimo

speriamo che i prossimi riescano a fare un bel log

GURUMEDITATION · 04-06-2008, 23:53

Quote:

Originariamente inviato da xcdegasp

ottimo

speriamo che i prossimi riescano a fare un bel log

Chiedo scusa, posso consigliarti di modificare l'intestazione del messaggio con un titolo più adatto a rappresentare il problema?

Qualcosa del genere, ad esempio.

ROOTKIT CLBDRIVERS.SYS RISOLTO: (REINDIRIZZAMENTO RICERCHE GOOGLE, SITI INTERNET ANTIVIRUS IRRANGIUNGIBILI).

cIAO

xcdegasp · 05-06-2008, 10:59

richiesta accolta ma il numero di caratteri massimi sono stati limitanti

flaviopac · 28-09-2008, 14:00

Io ho lo stesso problema, e volendo non c'è problema a fare il log...

In conclusione devo far partire antivir (scaricato da un altro computer) da un cd e tutto è apposto?

xcdegasp · 28-09-2008, 16:40

Quote:

Originariamente inviato da flaviopac

Io ho lo stesso problema, e volendo non c'è problema a fare il log...

In conclusione devo far partire antivir (scaricato da un altro computer) da un cd e tutto è apposto?

dal tuo entusiasmo nell'innondare il forum avrei immaginato che tu avessi risolto

04-06-2008, 12:08	#1
lollo.pil Junior Member Iscritto dal: Dec 2006 Messaggi: 23	[risolto] rootkit CLBDRIVERS.SYS - reindirizzamento ricerche su google e siti web Buongiorno a tutti, il problema che sto per esporre l'ho trovato piuttosto singolare... Partiamo dal principio... Un amico mi ha dato in affidamento il suo portatile (Windows XP Media Centre Edition SP2 ) e ho subito notato lo stato pietoso in cui era: molti tipi di virus, recenti o meno, come ad esempio Sasser, alcuni debellati,alcuni a quanto pare no. Barra quasi completamente rossa della deframmentazione tramite Windows, che proprio in questo momento è in corso di svolgimento. I problemi a cui non ho dato alcuna spiegazione sono i seguenti: 1) Mozzilla FireFox, nonostante un uninstall/reinstall dopo 2 secondi di clessidra NON parte, e non viene nemmeno visualizzato il processo sul TaskManager! 2) Apro un file col blocco note: note appare e scompare immediatamente... MAH! 3) Soprattutto, la connessione ad internet: la connessione c'è, tant'è vero che alcuni siti quali youtube, libero etc sono caricati correttamente... Peccato che i siti dei migliori antivirus come Kaspersky o Nod32 NON li carica!! E, tra l'altro, gli aggiornamenti non li carica (ho provato KAV, AVG, NOD32) e dice per tutti e 3 che non è possibile stabilire la connessione al server... PS - Ho volutamente bypassato il router, ma niente... Capirete quindi che le scansioni le ho fatte in modalità provvisoria ma con antivirus NON aggiornati.. Ho anche usato spybot aggiornato tramite pacchetto scaricato dal mio PC.. Ho visto che anche AVG 8.0 Trial mi permette di aggiornare offline, mi fa scaricare un grosso file .bin, peccato che non c'è assolutamente scritto dove metterlo.. Alla luce di ciò, spero che qualcuno mi illumini! Vi farò sapere anche se c'è qualche miglioramento post-defrag... Ciao a tutti !

04-06-2008, 12:19	#2
xcdegasp Senior Member Iscritto dal: Nov 2001 Città: Fidenza(pr) da Trento Messaggi: 27479	mi riporta alla mente un cattivo e pessimo malware, Segui la semplice procedura descritta in Guida alla Disinfezione per Infetti e pubblica tutti i log richiesti facendo attenzione alle Regole di Sezione, così potremmo aiutarti __________________ "Visti da vicino siamo tutti strani..." ~\|~ What Defines a Community? ~\|~ Thread eMule Ufficiale ~\|~ Online Armor in Italiano ~\|~ Regole di Sezione ~\|► Guida a PrivateFirewall quinto potere ~\|~ Le illusioni della TV

04-06-2008, 12:46	#3
GURUMEDITATION Member Iscritto dal: Jun 2007 Città: NAPOLI Messaggi: 115	MALWARE = http :// asiuoqgusdbaksd.com/go.php?u= Salve, Anch'io da 24 ore circa ho gli stessi problemi: 1) Le ricerche di google (in genere i primi 2 o 3 risultati) o altri motori vengono indirizzate ad altre pagine web. Se si esamina il link generato dalla ricerca si evince questo indirizzo: "h_t_t_p_:_/_/_asiuoqgusdbaksd.com/go.php?u=" (gli underscore li ho messi io per non creare un link nel messaggio) seguiti da una 50ina di caratteri random. Di solito si viene dirottati sempre su tre o 4 siti di suonerie, mp3 o comunque di ecommerce. 2)Il notepad non funziona più ,viene chiuso automaticamente alla partenza. Torna a funzionare rinominando l'eseguibile. Inoltre viene incluso in automatico fra le voci di PANNELLO CONTROLLO - SISTEMA - AVANZATE - PRESTAZIONI DI SITEMA - protezione esecuzione programmi. 3) I maggiori siti di antivirus o di scanning online per malware non sono più raggiungibili. Anche il download di alcuni antivirus è impedito indipendentemente dal sito da cui si scarica il file. 4) HijackThis e SPYBOT non si installano, bisogna rinominare l'eseguibile per far partire l'installazione. Hijackthis funziona mentre spybot parte ma e' impossibile aprire l'interfaccia principale del programma. Ho provato con hijackthis, ad-adware e PC TOOOLS SPYWARE DOCTOR di google. Nessuno riesce a trovare la causa dei malfunzionamenti e comunque falliscono anche l'aggiornamento on line. Come antivirus ho antivir, anche questo software non rileva niente di anomalo. Provo a seguire le indicazioni del post precedente e poi vi dico. P.S. Avrei fatto prima a reinstallare un backup dell'O.S. ma capire da dove proviene la minaccia e debellarla è diventata una questione di principio. __________________ [size="1"] ??? WIN 10PRO + Sony VPC-F11J1E/B

04-06-2008, 13:10	#4
lollo.pil Junior Member Iscritto dal: Dec 2006 Messaggi: 23	Ciao e grazie per la risposta tempestiva. Copio e incollo il log di HiJackThis, visto che è uno dei pochi che non richiede connessioni a internet e/o aggiornamenti. Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 14.07.22, on 04/06/2008 Platform: Windows XP SP2 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) Boot mode: Normal Running processes: log rimosso, leggere le Regole di Sezione -- End of file - 9170 bytes PS - I programmi all'avvio li ho controllati uno ad uno con ProcessLibrary, in ogni caso dateci un'occhiata Ultima modifica di xcdegasp : 04-06-2008 alle 13:42. Motivo: log rimosso inquanto non lette le regole di sezione

04-06-2008, 13:50	#9
GURUMEDITATION Member Iscritto dal: Jun 2007 Città: NAPOLI Messaggi: 115	Aggiornamento... Per adesso sto cercando di scaricare aft-cleaner.... Il download è bloccato. Ho provato anche con un download manager... idem. Il sito di nod32 è irrangiungibile, ma dovrei recuperarlo su qualche cd di riviste d'informatica.... AGGIORNAMENTO.... RIUSCITO A SCARICARE atf-cleaner.... continuo.... __________________ [size="1"] ??? WIN 10PRO + Sony VPC-F11J1E/B Ultima modifica di GURUMEDITATION : 04-06-2008 alle 15:18.

04-06-2008, 13:20	#5
lollo.pil Junior Member Iscritto dal: Dec 2006 Messaggi: 23	@GURUMEDITATION Punto1 - Anche a me reindirizzava ad altri siti, ma dopo una scansione con Nod32 NON aggiornato e SpyBot il problema, almeno quello, è stato risolto. Punto3 - Anch'io ho questo problema che mi sta facendo innervosire parecchio, dà proprio pagina bianca e "Impossibile accedere etc etc" Punto4 - A me questi 2 programmi funzionano senza problemi, lo stesso tuo problema lo ho, come già detto, con FireFox Beato te che ti sei fatto 1 backup! Ho già telefonato al mio amico allarmandolo per la formattazione e gli ho chiesto di cominciare a pensare ai file da mettere sulla scialuppa di salvataggio

04-06-2008, 13:41	#7
lollo.pil Junior Member Iscritto dal: Dec 2006 Messaggi: 23	Prima sì, ora non reindirizza più ma accede solamente a determinati siti.

04-06-2008, 16:37	#10
GURUMEDITATION Member Iscritto dal: Jun 2007 Città: NAPOLI Messaggi: 115	Ciao LOLLO.PIL Qui c'e' un thread abbastanza interessante stesso nostro problema. http://www.hwupgrade.it/forum/showthread.php?t=1738147 L'HO letto tutto ma non ho capito con che soft ha risolto il problema.... Antivir lo uso pure io e di sicuro non trova niente.... Per adesso ads scanner ha trovato duo o tre cose fra cui c:windows\cursors\arrow_n.cur che non riesce a cancellare. passo a A-Squared Free v3.x sempre che si riesca a scaricare.... __________________ [size="1"] ??? WIN 10PRO + Sony VPC-F11J1E/B

04-06-2008, 16:48	#11
Chill-Out Moderatore Iscritto dal: Jun 2007 Città: 127.0.0.1 Messaggi: 25885	Seguite questa Guida http://www.hwupgrade.it/forum/showthread.php?t=1689812 per creare ed utilizzare Antivir Rescue System ==>> opzione 2 per disinfettare il PC __________________ Regole di Sezione ▪ Guida alla Disinfezione ▪ Attenzione: Thread importanti Try again and you will be luckier.

04-06-2008, 17:10	#12
Ferra84 Senior Member Iscritto dal: Jun 2006 Messaggi: 634	problema simile anche per me.Nel mio caso anche altri programmi si chiudono da soli. Inoltre se faccio scan da modalità provvisoria si blocca

04-06-2008, 23:45	#14
xcdegasp Senior Member Iscritto dal: Nov 2001 Città: Fidenza(pr) da Trento Messaggi: 27479	ottimo speriamo che i prossimi riescano a fare un bel log __________________ "Visti da vicino siamo tutti strani..." ~\|~ What Defines a Community? ~\|~ Thread eMule Ufficiale ~\|~ Online Armor in Italiano ~\|~ Regole di Sezione ~\|► Guida a PrivateFirewall quinto potere ~\|~ Le illusioni della TV

05-06-2008, 10:59	#16
xcdegasp Senior Member Iscritto dal: Nov 2001 Città: Fidenza(pr) da Trento Messaggi: 27479	richiesta accolta ma il numero di caratteri massimi sono stati limitanti __________________ "Visti da vicino siamo tutti strani..." ~\|~ What Defines a Community? ~\|~ Thread eMule Ufficiale ~\|~ Online Armor in Italiano ~\|~ Regole di Sezione ~\|► Guida a PrivateFirewall quinto potere ~\|~ Le illusioni della TV

28-09-2008, 14:00	#17
flaviopac Bannato Iscritto dal: Jun 2007 Messaggi: 215	Io ho lo stesso problema, e volendo non c'è problema a fare il log... In conclusione devo far partire antivir (scaricato da un altro computer) da un cd e tutto è apposto?

Strumenti
Mostra una versione stampabile Invia questa pagina per email