strano TR/Rootkit.Gen nei temporanei

[Dadooo]

Ragazzi,
oggi mi collego con FireFox come da anni ad un solito sito di notizie di calcio inserendo manualmente l'indirizzo.
mi appare la schermata rossa di FF che dice che il sito è dannoso.... strana come cosa e penso che dipenda dal proxy dell'ufficio fatto sta che vado avanti fidandomi dell'url che inserisco da anni manualmente per leggere le notizie ma parte una schermata Applet Java tipo questa:
http://weblogs.java.net/blog/campbel.../orangebox.png
penso che dipenda dal fatto che prima lavoravo con software java ma mi viene sempre il dubbio e chiudo subito la finestra di FF. Riattivo per sicurezza ZoneAlarm ma dopo qualche minuto Avira Antivir mi rileva.

Nel file 'C:\WINDOWS\Temp\137A.tmp'
è stato rilevato un virus o programma indesiderato 'TR/Rootkit.Gen' [trojan].
Azione eseguita: Elimina file

Nel file 'C:\WINDOWS\Temp\1378.tmp'
è stato rilevato un virus o programma indesiderato 'TR/Rootkit.Gen' [trojan].
Azione eseguita: Elimina file

Tra le opzioni di Avira scelgo di eliminare i file e continuo ad usare FF solo che dopo poco mi si blocca il pc, rimane inchiodato e devo fare uno spegnimento da pulsante, riavvio, apro Firefox e lo uso tranquillamente ma poi si riblocca.

Ora, sia in modalità provvisoria che normale:
CCleaner pulisce
HijackThis mi risulta pulito (controllato sul sito hijackthis.de/it)
Malwarebytes non rileva nulla
ho installato anche Prevx che proprio ora mi dice che sono pulito.

comincio a pensare che sono le multiple finestre di firefox che ho sempre aperte perchè dopo 5 bloccaggi e riavvi ora sto usanto IE e non si blocca nulla. ho 4 sessioni firefox che apro sempre con semplici forum e siti di lavoro, casella di posta e un paio di mappe google al momento.

Nella cartella Windows\Temp ho una serie di file con data odierna 28/07/2010 e la sottocartella IswTmp

che consigli mi date ?
provo a reinstallare firefox oppure devo fare analisi più approfondite ?

nel dubbio ho anche eseguito il punto di ripristino di Window Xp alla data di ieri ma fortunatamente mi ha riavviato il pc ma mi ha detto che il ripristino non poteva essere eseguito perchè non c'erano "modifiche sostanziali al software" o roba del genere ora non ricordo.

[Chill-Out]

Ciao, potresti indicare l' *URL del sito in questione?

* in maniera che non sia cliccabile

[Dadooo]

il sito è questo asromaultras.it .... al contrario del titolo è seguito con molta cura da un ragazzo avvocato molto conosciuto nell'ambiente (cosi tanto per ribadire la bontà che ha sempre avuto il sito)
il link .it è praticamente un redirect a asromaultras.org ma io per comidità ho sempre usato inserire il .it

FF oggi melo segnala come pericoloso
IE invece buono

vorrei tanto capire coaa sia successo dato che ormai sto usando solo IE ed il pc non si blocca più.... riprovero' magari domani con FF perchè non ho tempo di rischiare di dover riavviare ancora il notebook.

[Chill-Out]

C'è il Redirect su --->>> asromaultras.org e stando a Google's Safe Browsing il sito risulta compromesso http://www.google.com/safebrowsing/d...omaultras.org/

anche se da un controllo approssimativo non trovo nulla.

Se desideri controllare il PC --->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

[Dadooo]

ok bisogna fare la solita guida....
allora ora sono in mod provvisoria perchè anche solo usando IE il pc si blocca.
ho il processo nlsvc.exe sempre al 50%....

ho inoltre configurato Avira Antivir come la guida sul forum a livello esperto ed ha trovato dei malware su dei files inutilizzati da tempo che ho rimosso e disintallato.

[GmG]

Originariamente inviato da Chill-Out

C'è il Redirect su --->>> asromaultras.org e stando a Google's Safe Browsing il sito risulta compromesso http://www.google.com/safebrowsing/d...omaultras.org/

anche se da un controllo approssimativo non trovo nulla.

Se desideri controllare il PC --->> http://www.hwupgrade.it/forum/showthread.php?t=1599737

Dal nome del sito sembra MBR/Rootkit

[Chill-Out]

Originariamente inviato da GmG

Dal nome del sito sembra MBR/Rootkit

HTTP Error 404: Not Found

[Dadooo]

mha ragazzi...ho riprovato da casa a seguire tutta la guida con la wireless.

ho disattivato il ripristino ed impostato i DNS come descritto. (sta cosa dei dns nn l'ho capita pero')...ho eliminato prox 3.0 ed ho notato al riavvio che ora il processo nlsvc.exe è sempre basso.
reistallato firefox.

ccleaner ok come sempre,
ho lanciato malwarebytes ed f-secure online...ore a girare, f-secure era arrivato al 99% ed aveva rilevato solo 4 spyboot, malawarebytes era circa a 3/4.
il notebook va in autobloccaggio dopo tot minuti di inutilizzo ed alla 4 volta che rimettevo la password per controllare si è reimpallato.... l'harddisk girava come ancora in esecuzione malwarebytes e f-secure.... ma mouse e video impallati percui dovrei rieseguire la procedura dall'inizio ?

a me sembra tutto ok dai controlli che ho sempre fatto.. hijackthis, spyboot, avira.

sembra strano che sia un problema harware che si blocca dopo che per 3 anni di utilizzo a manetta adesso mi si va ad impallare dopo essere entrati volutamente nel sito che è compromesso ?
altri consigli ?
adesso che ho elimintao anche i ripristini di windows xp per fare la procedura non posso neanche recuperare una vecchia installazione....fortuna che ho i backup dei dati...

magari riprovo disinstallando zonealarm e ci metto Comodo o cos'altro ?
è vero che il pc ci ho installato e disintallato tante cose pero' finora l'unica cosa che non andava era che è molto lento a chiudersi e un po' lentino a caricare i programmi dell'avvio.

consigli ?

[Dadooo]

malwarebytes ed antimalware eseguiti. antimalware messo in quarantena alcuni file ma in particolare mi ha segnato a rischio alto il fil ehijackthis204.exe che ho scaricato da sito:
Packked.Win32.Krap.hm!A2

Vi allego i log di DrWeb CureIt
cureit filtrato.txt

e SysInspector:
SysInspector-100809-1129.xml

adesso sto facendo rigirare tutto in modalità provvisoria.... attendo che finiscando malwarebytes ed antimalware e poi passo a kypersky virus removal tool