aiuto sono infetto da un rootkit che non riesco ad eliminare

[Sonic-16]

Ciao a tutti sono infetto da un rootkit che si ricrea sempre all'avvio del PC e si creano cartelle con nomi strani in firefox e internet explorer aggiungendo che recentemente ho eliminato virus come Win/heur e win32/auto-it.BuZ e varianti di esso sono infetto anche nell'hard disk esterno vi prego aiutatemi non so cosa fare

[wjmat]

Ciao benvenuto nel pronto soccorso di HU.
Segui la guida alla disinfezione per infetti ed esegui tutte le scansioni ed il caricamento dei relativi log nelle modalità e nell'ordine indicato.
Ovviamente dovrai includere il disco esterno nelle scansioni

Ricapitolando, dopo aver disabilitato il ripristino di sistema, fatto la pulizia dei file inutili con ATFCleaner e cancellato gli asd con ADS Scanner, vogliamo necessariamente in ordine (altrimenti dovrai comunque rifarli):

1. log di A-squared scansione deep aggiornato ad oggi
2. log di F-Secure OnLine oppure di Kaspersky Virus Removal Tool scaricato oggi
3. log di Dr.Web CureIT scaricato ed aggiornato ad oggi
4. log di ESET SysInspector
5. log di HiJackThis
6. log di Gmer
7. log di PrevxCSI

Con la pulizia files inutili, ads e le scansioni lunghe di antispyware (1) ed antivirus (2 e 3) avrai un pc già parzialmente ripulito, con le restanti scansioni veloci noi avremo le informazioni necessarie per i restanti interventi.


Tranne che per eseguire gli aggiornamenti e fare le scansioni che richiedano la connessione ad internet è sempre consigliato rimanere sconnessi e non usare il pc per altre operazioni.
Le scansioni falle in ordine e non contemporaneamente, rischi che i programmi non svolgano a dovere il loro compito, e comunque affaticando maggiormente il sistema non guadagneresti comunque tempo...

Questa è una brevissima guida alla pubblicazione dei log
Questo è un esempio preciso ed ordinato di come vorremmo tu caricassi i log

link utili per il caricamento log ed immagini
caricamento log fileqube.com, wikisend.com, mediafire.com
caricamento immagini fileqube

[Sonic-16]

Grazie mille domani ti posto i log delle scansioni, a domani

[wjmat]

ok,aspettiamo i log

[Sonic-16]

perdona la mia ignoranza ho collegato non solo un hard disk esterno ma anche due lettori MP3 cosa mi consigli? gli faccio fare un scansione anche a loro e ti posto i log comprendendo la scansione di essi?

[wjmat]

certo

[Sonic-16]

1) a2scan_080731-174929.txt
http://www.fileqube.com/shared/Pxubww70651

1)a2scan_080731-143255.txt
http://www.fileqube.com/shared/QbFatsBn70650

3)Log F-secure.txt
http://www.fileqube.com/shared/SbCaVLw70649

per adesso ti posso dare questi, adesso vedo se riesco a darti entro oggi pure quello di dr.web

[xcdegasp]

Originariamente inviato da Sonic-16

1) a2scan_080731-174929.txt
http://www.fileqube.com/shared/Pxubww70651

1)a2scan_080731-143255.txt
http://www.fileqube.com/shared/QbFatsBn70650

3)Log F-secure.txt
http://www.fileqube.com/shared/SbCaVLw70649

per adesso ti posso dare questi, adesso vedo se riesco a darti entro oggi pure quello di dr.web

devi disabilitare il rirpistino di configurazione,dal secondo log di a-squared sembra sia attivo invece

[Sonic-16]

no ho controllato è disattivato e la seconda scansione di a-squared rigurda i lettori MP3, nel ripristino cfg di sistema compaiono solo i due hard disk

[Sonic-16]

Grazie ancora e buona notte domani posto i log rimanenti

[Sonic-16]

Log di Dr.web cure it

http://www.hwupgrade.helloweb.eu/Par...2020011358.txt

[Sonic-16]

Log ESET SysInspector
http://www.fileqube.com/shared/aXVfSVCwM71498

Log hijackthis
http://www.fileqube.com/shared/lmVGFiTz71499

Log Gmer
http://www.fileqube.com/shared/RkpTn71496

Log Prevx CSI
http://www.fileqube.com/shared/qUNzWOd71497

[wjmat]

Lancia HiJackThis → clicca Do a scan only → metti la spunta a fianco delle righe che ti segnalo qui sotto → clicca su Fix Checked → Riavvia il pc
Lancia HiJackThis → Do a system scan and save a logfile → Carica il nuovo log
_________________________________________________________________________________________
Tutte le eventuali voci O4 fixate non cancellano i programmi ma semplicemente evitano che questi partano in automatico inutilmente, rallentando l'avvio del sistema.
Di default segnalo sempre i programmi di messaggistica, ma se li ritieni strettamente necessari non fixarli.
Se hai installato le toolbar di google o yahoo, io le ritengo inutili quindi disinstallale pure.
Le eventuali voci O16 dovranno essere fixate con IE chiuso.
Eventuali voci che ti segnalo, che invece hai impostato tu o che comunque conosci e provengono da fonti sicure, lasciale se le ritieni veramente importanti.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

O2 - BHO: NCO 2.0 IE BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file)
O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programmi\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [ISTray] "C:\Programmi\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programmi\File comuni\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programmi\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programmi\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programmi\File comuni\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [MSMSGS] "C:\Programmi\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Uniblue SpyEraser] "C:\Programmi\Uniblue\SpyEraser\SpyEraser.exe" -m
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O16 - DPF: CabBuilder - http://ak.imgag.com/imgag/kiw/toolbar/download/InstallerControl.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resources/scan8/oscan8.cab
O16 - DPF: {6A344D34-5231-452A-8A57-D064AC9B7862} (Symantec Download Manager) - https://webdl.symantec.com/activex/symdlmgr.cab
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab

se ti sembra di essere a posto (dai log vedo questo, ma potrebbe esserci altro)
dai un'occhiata al trattamento di prevenzione / post disinfezione, ti aiuta a verificare la configurazione di sicurezza del tuo pc, aggiornare programmi vulnerabili obsoleti ed eliminare eventuali residui inutili dei programmi utilizzati nelle guide

togli pure quel mattone di spyware doctor

[Sonic-16]

Log hijackthis
http://www.fileqube.com/shared/RxMpltiYT71581

Avg mi trova ancora il rootkit in C:\WINDOWS\system32\drivers\ac9n7m8c.sys cosa faccio?

[wjmat]

Fai controllare quel file su www.virustotal.com e su http://virusscan.jotti.org/
Per l'esito di virustotal a fine scansione copia l'indirizzo della pagina e incollalo nella discussione
Per l'esito di virusscan.jotti copia tutto il testo che c'è tra Scanner result e Powered by → incollalo in un file di testo e allegalo.
Se il file dovesse essere nascosto o di sistema, Apri Risorse Computer -> Strumenti -> Opzioni Cartella... -> Visualizzazione -> Seleziona "Visualizza cartelle e file nascosti" -> scendi e togli la spunta a "Nascondi i file di sistema (consigliato)
Alla fine della verifica rimetti le impostazioni originali

[Sonic-16]

Non lo posso fare perchè appena rilevato il rootkit cambia sempre nome sorvolando su questo poi anche rendendo visibili i file nascosti non me lo da presente.

[wjmat]

facciamo anche una scansione di sicurezza con Malwarebytes' Anti-Malware
Installalo e aggiornarlo

Una volta aggiornato sotto la scheda "Scansione" seleziona "Effettua una scansione completa"
Clicca su scansiona, seleziona tutti i dischi ed unità e seleziona "Avvia scansione"

A fine scansione seleziona tutte le voci trovate e clicca "Rimuovi elementi selezionati"

Si aprirà il log che dovrai caricare secondo le modalità
Lo recuperi dal programma sotto la scheda "Files di log" oppure più comodo Start -> Esegui -> Copia ed incolla il testo rosso
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs (invio)



Scarica da qui Panda Anti-Rootkit
Estrailo e fallo partire -> Spunta "In-depth scan" -> Fagli cercare gli aggiornamenti -> Fai riavviare il pc e lascia scansionare -> Rimuovi eventuali rootkit trovati

[xcdegasp]

malwarebyte's ha solo una buona pulizia per quello che riconosce ma non ha il database così esteso da essere considerato come programma di controllo, per quel che ho notato io
ad ogni modo male non fa' la scansione con tale prodotto

[Sonic-16]

panda anti-rootkit non ha trovato niente mentre Malwarebytes' Anti-Malware ha trovato 6 Adware.NaviPromo però AVG 8 mi trova sempre questo rootkit

[wjmat]

Originariamente inviato da Sonic-16

panda anti-rootkit non ha trovato niente mentre Malwarebytes' Anti-Malware ha trovato 6 Adware.NaviPromo però AVG 8 mi trova sempre questo rootkit

il nome cambia ancora?