Cosa esce da questo pc... ???

[McTony]

Scusate il titolo ma non sapevo come riassumere la situazione di un amico che si trova incasinato.

Allora: questo mio amico ha un portatile collegato ad una rete aziendale con tanto di server. Per collegarsi ad internet utilizza il router collegato anche a molti altri pc.

Un giorno un suo conoscente gli ha scritto un email avvisandolo che era stato contaggiato da un virus (non ha saputo dirmi il nome del virus... gli pare di ricordare che era un worm32@ ecc. ecc.). In allegato , in molti che gli hanno segnalato il problema, c'erano addirittura dei suoi file interni che aveva mandato solo ad una persona e molto tempo prima. Tra l'altro documenti riservati.

Preoccupatissimo, visto che nel suo portatile c'è molto materiale importante per il suo lavoro nonchè programmi gestionali che non riuscirebbe a reinstallare facilmente, si è reso conto che quando si collega ad internet tramite la rete aziendale, appena comincia il collegamento si accendono una miriade di led del suo PC che segnalano l'Upload, seganlandogli che appunto c'è "roba" che esce dal PC. Gli Antivirus non funzionano più.

Allora io gli ho consiglato di tirarsi giù dei removal tools per i soliti Klez, Nimda, Badtrans, Elerken, Sircam, ecc. Provati molti si è ritrovato infettato, ma non nel file del sitema, alcuni file su una partizione dal Magister A e B che il removal tool ha prontamente rilevato e clennato.

Il problema è che adesso gli Antivirus gli hanno funzionato, dopo averli reinstallati, ma all'improvviso si sono di nuovo impiantati. Non esiste neppure più il programma!!! E i led continuano a lampeggiare in maniera preoccupante. Rifacendo con i tools però non gli rileva più niente.

Il Klez credo di sapere bene come funziona e gli ho fatto verificare che non c'è, il Nimda neppure... che virus può essere? Oppure, è possibile che sia vittima di un hacker?

P.S. Il Server e gli altri pc non segnalano presenza di virus. Il server è dotato di hardware antivirus.

[Bilancino]

Fagli controllare nel registro nei suguenti percorsi:


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\

oppure in

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\

oppure in

HKEY_LOCAL_MACHINElSOFTWARElMicrosoft\Windows\CurrentVersion\RunServices\

In questi percorsi ci sono nomi di chiavi di programmi installati e nomi strani associati ai virus da caricare all'avvio. Se si rumuovono queste chiavi i virus non saranno più attivi all'avvio successivo. inoltre scarica dal mio sito l'utility panda quick remover utile per i virus più recenti. Fagli fare una controllata anche con ad-aware.


Ciao

[McTony]

Ho già trovato: yaha. Eliminato!!!