log combofix

[alespa]

ciao a tutti!Qualcuno potrebbe dare un'occhiata al log di combofix..?grazie e ciao
Wikisend: free file sharing service

 

[FDAC]

Scarica Kaspersky TDSS Killer: http://support.kaspersky.com/downloads/utils/tdsskiller.exe
● posiziona il file scaricato sul Desktop
● doppio click su TDSSKiller.exe per avviare l'applicazione e successivamente sul pulsante Start Scan

Giunti a questo punto, inizia la scansione del sistema alla ricerca di software malevolo:
● se viene trovato un file infetto, l'azione di default sarà Cure, clicca quindi su Continua
● se viene trovato un file sospetto, l'azione di default sarà Skip, clicca quindi su Continua

Una volta terminata la scansione, si presenterà una di queste due opzioni:
● non è necessario il riavvio del sistema: clicca su Report e salva il contenuto in un file di testo
● è necessario riavviare il sistema: clicca su Riavvia ora
● una volta riavviato il sistema, il report del programma da allegare si trova in C:\ in questa forma:
TDSSKiller.[Version]_[Date]_[Time]_log.txt

 

[alespa]

TDSSKiller.2.5.22.0_17.09.2011_08.00.18_log 17 sett11.txt

quasi 130 "suspect"..ogni volta che faccio TDSSKiller ci sono questi...non ho ancora capito se i "suspect" sono potenzialmente pericolosi o no,visto che il programma,con "skip" li tralascia!Sicuramente io non ho l'esperienza per andarci attorno..ciao

 

[FDAC]

Scusa, ma non riesco a reperire il log.
Caricalo sul sito Wikisend.
Altrimenti, copialo ed incollalo direttamente qui.

 

[alespa]

ciao.Scusa per il ritardo..allora..anche se non riesco a fare un log di Gmer,questi mi presentaparecchie voci in rosso!So' che non sempre sono malware ma comunque il computer,fino a ieri,eralentissimo!Ieri Avirami ha trovato"Virus or unwanted program 'TR/ATRAPS.Gen [trojan]'
detected in file(omissis)
Action performed: Deny access
questo e' un programma di analsi di borsa e non ho voluto fare pubblicita'!
oggi ho attivato combofix con script killall:ho fatto bene?ciao ale
Wikisend: free file sharing service 4 ottobre 11.txt
ComboFix 4 ottobre 11.txt

 

[FDAC]

Ciao.


Script personalizzato di ComboFix

Avviso: non eseguire ComboFix di tua iniziativa; questo tool non è un giocattolo e non è adatto ad un uso quotidiano.

Apri il Block Note: Start> Tutti i programmi> Accessori> Blocco note
● all'interno del nuovo documento di testo, copia ed incolla le seguenti righe:

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000000
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000000
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000000


● chiama questo file CFScript.txt, e posizionalo sul Desktop

Molto importante! Disabilita temporaneamente il tuo antivirus e firewall prima di seguire la procedura indicata. Potrebbero infatti interferire con ComboFix o rimuovere alcuni dei suoi file incorporati che possono portare a risultati imprevedibili.
Facendo riferimento all'immagine presente qui sotto, trascina con il puntatore del mouse CFScript.txt sull'icona di ComboFix
ComboFix ora eseguirà una scansione del tuo sistema. Una volta terminata, potrebbe riavviare automaticamente il sistema: in caso contrario, procedi tu manualmente.
A questo punto, il programma produrrà un Report. Copia ed incolla il log nel tuo prossimo post.

http://img155.imageshack.us/img155/4837/cfscriptop0.gif

Nota - riguardo alla procedura:
● non toccare assolutamente il mouse e la tastiera durante la scansione: potrebbe interrompersi. Se dovesse succedere, apri il Task Manager (Ctrl + Alt + Canc), clicca sul tab Processi e termina tutti i processi findstr, find, sed o swreg. In tal modo ComboFix dovrebbe avviarsi correttamente
● se dovesse succedere ciò, vorrei sapere cortesemente quale processo hai dovuto terminare

Poi, elimina la copia di TDSS killer presente sul desktop e;
Scarica Kaspersky TDSS Killer: http://support.kaspersky.com/downloads/utils/tdsskiller.exe
● posiziona il file scaricato sul Desktop
● doppio click su TDSSKiller.exe per avviare l'applicazione e successivamente sul pulsante Start Scan

Giunti a questo punto, inizia la scansione del sistema alla ricerca di software malevolo:
● se viene trovato un file infetto, l'azione di default sarà Cure, clicca quindi su Continua
● se viene trovato un file sospetto, l'azione di default sarà Skip, clicca quindi su Continua

Una volta terminata la scansione, si presenterà una di queste due opzioni:
● non è necessario il riavvio del sistema: clicca su Report e salva il contenuto in un file di testo
● è necessario riavviare il sistema: clicca su Riavvia ora
● una volta riavviato il sistema, il report del programma da allegare si trova in C:\ in questa forma:
TDSSKiller.[Version]_[Date]_[Time]_log.txt

Allega entrambi i log su Wikisend.

 

[alespa]

Wikisend: free file sharing service 2 4ottobre 11.txt
COMBOFIX 2 4ottobre 11.txt

Wikisend: free file sharing service 4 OTTOBRE.txt
TDSS 4 OTTOBRE.txt

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: ST925082 rev.3.AA -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user != kernel MBR !!! 
copy of MBR has been found in sector 22 !
copy of MBR has been found in sector 23 !

il TDSS da sempre mi trova quei 130 "suspect" sui quali io clicco skip...ciao

 

[FDAC]

Sembrerebbero tutti file illegittimi.
ComboFix non ne ha rilevato la minima presenza (in parte, diciamo). Il tuo MBR è molto infetto..

Ora:
Scarica MBRCheck: http://ad13.geekstogo.com/MBRCheck.exe
● salva il file scaricato sul Desktop
● avvia il programma con un doppio click
● attendi pazientemente il termine della scansione
● se appare questa dicitura in verde:
Windows xp MBR code detected
● se invece appare questa scritta, è probabile che l'MBR sia infetto:
Found non-standard or infected MBR

Se è infetto;
Scarica Stealth MBR rootkit detector: http://www2.gmer.net/mbr/mbr.exe
● mettilo direttamente nella Directory C:\
● riavvia il sistema in Modalità Provvisoria: Avviare il computer in modalità provvisoria
● Start - Esegui - digita C:\mbr.exe e clicca su OK
● la scansione dura 1 secondo
● recati in C:/ e allega il file mbr.txt per un controllo

Poi;
Recati in C:/ e cestina il file mbr.txt
● Start - Esegui - digita C:\mbr.exe -f
● clicca su OK
NB - C'è uno spazio vuoto tra "C:\mbr.exe" e "-f"
● recati in C:/ e allega il file mbr.txt per un ulteriore controllo

Recati in C:/ e cestina il file mbr.txt
● Start - Esegui - digita C:\mbr.exe
● recati in C:/ e allega il file mbr.txt per un controllo finale


Ti do questo lavoro perchè ora scappo, scusa..

A domani. Francesco.

Attendo i tre log di MBR e quello di MBR Check (opzionale, sappiamo che MBR infetto.. Se vuoi postarlo..)

 

[alespa]

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: ST925082 rev.3.AA -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user != kernel MBR !!! 
copy of MBR has been found in sector 22 !
copy of MBR has been found in sector 23 !

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: ST925082 rev.3.AA -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user != kernel MBR !!! 
copy of MBR has been found in sector 22 !
copy of MBR has been found in sector 23 !


Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.0.6002 Disk: ST925082 rev.3.AA -> Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0 

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user != kernel MBR !!! 
copy of MBR has been found in sector 22 !
copy of MBR has been found in sector 23 !

 

[alespa]

ciao Francesco..ho fatto tutto alla lettera,anche se i 3 risultati sembrano uguali.Nel frattempo ho fatto PREVX che mi ha scovato due oggetti Wikisend: free file sharing service PREVX.log poi sono tornato al Firefox col no script!Attendo tue quando puoi.. ciao e grazie Ale

 

[FDAC]

Scarica ed installa HitmanPro: Downloads - SurfRight
● scegli la versione adatta al tuo Sistema Operativo (32Bit o 64Bit)
● una volta lanciato, nella finestra principale clicca su Impostazioni
● clicca su Licenza ed attiva la licenza
● clicca su scansione di default (consigliato)
● al termine della scansione ti verrà mostrato un riepilogo: nella finestra di riepilogo, in basso a sinistra, avrai modo di salvare il Report generato che dovrai allegare

 

[alespa]

non mi accetta il file allegato..te lo mando con wikisend
Wikisend: free file sharing service
[URL=http://wikisend.com/download/490108
avevo gia' scaricato il programma e avevo gia' cancellato i traking cookies..leggo pero' che il problema all'MBR non e' cosa facile da debellare.Intanto ho scaricato Hxd,casomai ti servisse uno screeshot dei settori incriminati..il fatto e' che non so' usarlo e non vorrei fare danni!ciao e grazie per l'interessamento

 

[FDAC]

Scarica OTC by OldTimer: http://oldtimer.geekstogo.com/OTC.exe
● posiziona il tool sul Desktop
● chiudi tutti i programmi attivi
● avvia il tool con un doppio click
● clicca sul pulsante CleanUp!
● il programma chiede di riavviare il sistema: consenti, cliccando su Yes per due volte

Scarica ComboFix: http://download.bleepingcomputer.com/sUBs/ComboFix.exe
● posiziona il file scaricato sul Desktop
● disattiva l'Antivirus in uso, dall'icona presente sulla Traybar (accanto all'orologio di Windows)
● disattiva il Firewall eventualmente installato, dall'icona presente sulla Traybar (accanto all'orologio di Windows)

Eseguiti i passaggi indicati sopra:
● lancia ComboFix con un doppio click
● segui le istruzioni che verranno rilasciate per eseguire la scansione
● in caso tu abbia Windows XP, verrà richiesta l'installazione della Console di ripristino di emergenza: non la installare
● senza eseguire nessuna altra operazione, lascia che il tool completi il suo lavoro

Note - durante la scansione:
● potrebbero comparire alcuni file sul Desktop, e poi eliminati
● spariranno, per un attimo, tutte le icone presenti sul Desktop: nulla di cui preoccuparsi
● potrebbe venire rilasciato un messaggio in relazione all'Antivirus in uso: prosegui ignorando il messaggio
● il firewall potrebbe rilasciare un avviso circa la rimozione di alcuni driver: consenti
● potrebbe apparire sul Desktop l'icona di Internet Explorer

Quando ComboFix avrà concluso l'operazione di scansione:
● il sistema verrà riavviato automaticamente: in caso contrario, riavvialo te
● vai in Disco Locale C:, cerca il file di testo dal nome ComboFix.txt ed allegalo

Nota - riguardo al programma:
● per eseguire correttamente ComboFix su Windows Vista e Windows Seven, clicca con il tasto destro del mouse sull'icona del programma e, dal menù contestuale, scegli la voce Esegui come Amministratore
● sUBs, la software house che distribuisce ComboFix, non è responsabile di qualsiasi danno causato da te dopo l'utilizzo del software stesso.
Lo stesso vale per me; questo tool non è un giocattolo e non è destinato all'utilizzo quotidiano. Esso non dovrebbe essere utilizzato a meno che non venga espressamente richiesto da un esperto
● ComboFix disabilita l'esecuzione automatica delle unità USB (Chiavette, Hard Disk Esterni, Lettori MP3...) per prevenire future minacce: quando inserisci una Pendrive, sarai costretto ad avviarla dalle Risorse del computer. Una precauzione in più, una possibile minaccia in meno

 

[alespa]

ComboFix.txt

Wikisend: free file sharing service

questo e' il report,ciao
n.b l'MBR check mi ha dato infetto..ma gia' lo sapevamo

 

[FDAC]

Bene.
Ora; esegui TDSS Killer, elimina tutto ciò che trova senza paura!

Allega il log..