virus Trojan.Mebroot.B. Aiutoo !!!!

[gpnet]

Aiuto , ragazzi,

dopo un po di giorni sono finalmente risucito a beccare il virus che sapevo di avere ma che non trovavo. Poi mi sono imbattuto in un errore strano con BSOD di tipo "STOP 0x0000000A ( 0x0000001C, 0x0000000A, 0x0000000A, 0x80538102).
Ho cercao su google e ho visto che poteva essere un MBR rootkit, così sono risalito alla vostra guida http://www.hwupgrade.it/forum/showthread.php?t=1715546 e l'ho seguita.

Quando ho lanciato in modalità provvisoria il comando :
mbr.exe -f ho ricevuto il seguente log :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x8636ebd0
NDIS: Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC -> SendCompleteHandler -> 0x86310330
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x01D1C06C0
malicious code @ sector 0x01D1C06C3 !
PE file found in sector at 0x01D1C06D9 !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
original MBR restored successfully !

poi ho proseguito con Norman :

Norman SinowalMBR Cleaner
Copyright © 1990 - 2008, Norman ASA. Built 2008/05/13 16:21:18

Norman Scanner Engine Version: 5.92.04
Nvcbin.def Version: 5.92.00, Date: 2008/05/13 16:21:18, Variants: 0

Running pre-scan cleanup routine:
Operating System: Microsoft Windows XP Professional 5.1.2600(Safe mode with network) Service Pack 3
Logged on user: JOSS_XPHP\Administrator


Scan started: 09/03/2010 23:36:30

Scanning bootsectors...

Unable to scan for SinowalMBR hooks

Number of sectors found: 0
Number of sectors scanned: 0
Number of sectors not scanned: 0
Number of infections found: 0
Number of infections removed: 0
Total scanning time: 0s 250ms


Scanning running processes and process memory...

Number of processes/threads found: 891
Number of processes/threads scanned: 891
Number of processes/threads not scanned: 0
Number of infected processes/threads terminated: 0
Total scanning time: 5s


Scanning file system...

Scanning: C:\*.*

Scanning: D:\*.*

Scanning: E:\*.*

Scanning: F:\*.*

F:\Download\Aero_Ultimate_FINAL_by_fediaFedia.zip/Segoe UI fonts/segoe_tt.rar/RR (Error whilst scanning file: I/O Error)

F:\Download\CadLib_DWG_DXF_.NET_Library_v3.5.3-fuujin.rar/CMT (Error whilst scanning file: I/O Error)

F:\Download\IconCool Editor Portable 4.4.rar/CMT (Error whilst scanning file: I/O Error)

F:\Download\My Lan Viewer Portable 3.4.2.rar/CMT (Error whilst scanning file: I/O Error)
F:\Libri_e_manuali\C#-think-CS-py2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0/english2e/html/thinkCSpy2.tgz/unknown0 (Possible archive bomb)

F:\Progetti_CS_Snippets\Doc\OC30CB.rar/RR (Error whilst scanning file: I/O Error)

F:\Progetti_CS_Snippets\Mobile\pcadcdpro.rar/CMT (Error whilst scanning file: I/O Error)

F:\Progetti_CS_Snippets\Mobile\Resco.Audio.Recorder.v4.50.Incl.KG-Tyra.rar/CMT (Error whilst scanning file: I/O Error)

F:\Progetti_CS_Snippets\Mobile\Giochi\Pocket.Mahjong.3D.PPC.rar/CMT (Error whilst scanning file: I/O Error)

F:\temp\Downgrade_TOXP\server2008_pkeytokens.rar/RR (Error whilst scanning file: I/O Error)


Running post-scan cleanup routine:

Number of files found: 1015569
Number of archives unpacked: 4653
Number of files scanned: 1015520
Number of files not scanned: 49
Number of files skipped due to exclude list: 0
Number of infected files found: 1
Number of infected files repaired/deleted: 0
Number of infections removed: 0
Total scanning time: 1h 51m 10s

Dopo avere fatto tutto cio ho cancellato quel file sospetto segnalato da norman e ho ripulito la cartella e:\windows\temp.

Dopodichè ho rilanciato mbr.exe senza -f e mi dice :

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x8636ebd0
NDIS: Realtek RTL8168/8111 PCI-E Gigabit Ethernet NIC -> SendCompleteHandler -> 0x86310330
Warning: possible MBR rootkit infection !
user & kernel MBR OK
copy of MBR has been found in sector 0x01D1C06C0
malicious code @ sector 0x01D1C06C3 !
PE file found in sector at 0x01D1C06D9 !
Use "Recovery Console" command "fixmbr" to clear infection !

Ora vorrei il vostro aiuto perchè:

1. mi sono accorto in modalità provvisoria non ho la tastiera abilitata. Perciò ho dovuto fare un .bat con il comando per eseguire mbr.exe -f , come posso abilitare la tastiera. Io mi ero accorto in passato di questo fatto ma non ci avevo dato peso, ora però mi serve per esegguire anche altri comandi.

2. Io ho nella macchina 2 HDD , il primo HDD con vista e due partizioni C-D e il secondo con XP anche lui con 2 partizioni E-F. Il sistema XP SP3 sta in E:\

se devo fare il fixmbr l'ho devo fare nel disco E: ? è corretto ? . Ve lo chiedo perchè non ho chiaro qualcosa, ciè mi sembra di avere letto che di MBR c'è nè uno solo all'inizio del primo disco.

3. E' necessario che reinstalli il driver realtek incriminato.


Per favore aiutatemi sono bloccato !!!!!!!

[Chill-Out]

Originariamente inviato da gpnet

Aiuto , ragazzi,

dopo un po di giorni sono finalmente risucito a beccare il virus che sapevo di avere ma che non trovavo. Poi mi sono imbattuto in un errore strano con BSOD di tipo "STOP 0x0000000A ( 0x0000001C, 0x0000000A, 0x0000000A, 0x80538102).
Ho cercao su google e ho visto che poteva essere un MBR rootkit, così sono risalito alla vostra guida http://www.hwupgrade.it/forum/showthread.php?t=1715546 e l'ho seguita.

Ciao, la Guida recita:

NOTA BENE:
1 - AL FINE DI MANTENERE IL THREAD ORDINATO E FRUIBILE HOSTATE I LOG SOLO ED ESCLUSIVAMENTE IN FORMATO .TXT SU http://wikisend.com/ in alternativa su http://www.filedropper.com/ PUBBLICANDO PER OGNI LOG IL LINK CHE VERRA' RILASCIATO PER IL DOWNLOAD
2 - E' OPPORTUNO LEGGERE ATTENTAMENTE TUTTA LA GUIDA

di conseguenza i log per il controllo vanno allegati nel 3D dedicato, chiudo