sdra64.exe

[JeanGrey]

Ciao giàvista, ci sono alcune cose che non mi convincono, facciamo altri controlli.

Esegui una scansione con Dr.Web CureIt!
allega il rapporto.

scarica KASPERSKY VIRUS REMOVAL TOOL (non richiede l’installazione)
Kaspersky Virus Removal Tool
● scarica la versione del tool più aggiornata rispetto alla data di pubblicazione
● crea una apposta Cartella sul Desktop ed al suo interno posiziona il file
● lancia il tool
● imposta le aree che intendi scansionare (non è possibile eseguire la scansione di specifiche cartelle)
● al termine della scansione sarà possibile rimuovere e/o mettere in quarantena i file infetti rilevati
Salva ed allega, il log che verrà rilasciato

Procedura di disinstallazione di KASPERSKY VIRUS REMOVAL TOOL
● clicca sull’icona per lanciare il tool
● nella finestra principale, in basso, clicca sulla voce Complete Virus Protection
● verrà visualizzato un messaggio: clicca su Ok
● chiudi la pagina web che verrà aperta
● nel messaggio successivo, clicca su SI per avviare la disinstallazione
● al termine, verrà richiesto di riavviare il P.C.

 

[giàvista]

eccomi, ti allego il log di kaspersky (spero sia giusto), ma quello di d.web è pesantissimo (50mb), come faccio?
anche compresso sono 3mb, e se provo con il tag CODE, mi va in palla tutto.
ti metto un .txt con la riga (la prima) con il problema trovato con la scansione completa.
il bello è, che oggi ho provato a fare una scansione rapida, ed è saltato fuori il problema della seconda riga, poi ho riprovato, e non ha trovato niente, ho riavviato, ho rifatto la scansione rapida, e di nuovo è saltato fuori un problema (terza riga). volevo anche dire che non ho intrapreso nessuna azione, credendo che facesse da solo.

Visualizza allegato 12190

Visualizza allegato 12188

 

[<H5N1>]

Effettua nuovamente una scansione con ComboFix.
Poi scarica GMER ed effettua una scansione anche con questo strumento indicando se, eventualmente, trovi voci in rosso.

 

[giàvista]

ecco qua. è stata dura, però; ho dovuto lanciare combofix 7 volte: la prima si è installato, poi due volte ha mandato in crash il sistema (erano anni che non vedevo una schermata blu), la quarta è andata bene, ho salvato il report, e quando sono andato nella cartella, questa era vuota, rilanciato ha mandato di nuovo in crash due volte e la settima è stata la volta buona.
con gmer niente voci in rosso, comunque.

Visualizza allegato 12215

Visualizza allegato 12216

non capisco una cosa: stamattina ho lanciato di nuovo D.Web, e ha trovato la solita backdoor nel servizio svchost.exe, che, come dice nel report, è stato "eradicato".
ma perchè nel rapporto finale (nel txt) dice che non è stata intrapresa nessuna azione? nella finestra di scansione, anche se lo seleziono, non posso fare niente.
cosa vuol dire, allora, "eradicato"?

Visualizza allegato 12240

 

[JeanGrey]

Apri SpyBot in modalità avanzata (menù modalità - avanzata) poi vai in utilità - resident e togli la spunta a TeaTimer.

Scarica Stealth MBR rootkit detector
http://www2.gmer.net/mbr/mbr.exe
mettilo direttamente nella Directory C:\
riavvia il Pc in modalità provvisoria F8
Start - Esegui - digita C:\mbr.exe -f
clicca su OK
salva il log MBR1 ed allegatelo per il controllo.

Ripeti la scansione con Malwarebytes.

Ps. Inizio a pensare sia il caso di formattare per avere un sistema fresco e pulito.

 

[giàvista]

allora, mbr non so se ha funzionato, la finestra appariva per un momento, poi non succedeva niente; invece malwarebytes, stavolta ha trovato qualcosa, strano, perchè una settimana fa non aveva trovato niente.
ecco i log:

Visualizza allegato 12291

Visualizza allegato 12292

p.s.: ormai mi ero rassegnato a formattare, ma non avendo il disco del S.O., non saprei come
fare (è dai tempi di win98 che non formatto un pc :look: ). certo è, però, che nè con win98, nè con xp, ho avuto tanti problemi di virus. è Vista che è un colabrodo o è perchè da sei mesi uso l'adsl?

 

[giàvista]

aggiornamento. nella cartella Temp, è ricomparso un file strano e un'altra cartella (tutti e due crati alla stessa ora) con all'interno il file svchost.exe.
li ho scansionati con tutti i tools che ho, e per adesso sono innocui.
intanto dr.web ad ogni scansione (dopo ogni avvio) mi trova un servizio "svchost" infettato dalla backdoor:565.
sono ormai propenso alla formattazione, però dovrei reperire: sistema operativo, drivers, programmi vari preinstallati. sono rimasto un pò indietro in queste cose, come faccio?

 

[JeanGrey]

Ciao giàvista, se hai la partizione di ripristino installata sul pc, puoi usare quella.

Se nel computer sono disponibili opzioni di ripristino preinstallate:

1. Rimuovere tutti i dischi floppy, i CD e i DVD dal computer e quindi riavviare il sistema.
   Fare clic sul pulsante Start
   
   , quindi sulla freccia accanto al pulsante di blocco
   
   e infine su Riavvia il sistema.
2. Eseguire una delle operazioni seguenti:
   • Se nel computer è installato un solo sistema operativo, tenere premuto F8 al riavvio del computer. È necessario premere F8 prima che venga visualizzato il logo di Windows. Se il logo di Windows è già visualizzato, sarà necessario riprovare dopo aver atteso la visualizzazione della schermata di accesso di Windows e aver arrestato e riavviato il computer.
   • Se nel computer sono installati più sistemi operativi, utilizzare i tasti di direzione per evidenziare il sistema operativo che si desidera ripristinare e quindi tenere premuto F8.
3. Nella schermata Opzioni di avvio avanzate utilizzare i tasti di direzione per evidenziare Ripristina il computer e quindi premere INVIO. Se l'opzione Ripristina il computer non viene visualizzata, il computer non include il menu Opzioni ripristino di sistema come opzione di ripristino preinstallata nel sistema.
4. Selezionare un layout di tastiera e quindi fare clic su Avanti.
5. Selezionare un nome utente e digitare la password e quindi fare clic su OK.
6. Fare clic su uno strumento disponibile nel menu Opzioni ripristino di sistema per aprirlo.

Dov'è Console di ripristino di emergenza?

In ogni caso apri una discussione in Windows, sicuramente ti sapranno aiutare ;)
Windows - Forum di Tom's Hardware Italia

 

[giàvista]

ok, grazie per l'aiuto. solo un'ultima domanda: il disco ha due partizioni, ma i file di ripristino sono in C, con tutto il resto; non c'è pericolo che il virus li abbia infettati?

 

[JeanGrey]

Non credo abbia infettato la partizione di ripristino, ma per esserne certi bisogna provare.