Newsgroup: it.comp.os.win.xp
Titolo: portatile infestatissimo non va dopo antivirus

mi hanno portato un portatile pieno zeppo di malware, dopo aver cercato di
eseguire hijackthis e costatato che non funzionava, cercando di farlo
partire si riavviava explorer.exe, ho seguito questa guida trovata su
internet: 
http://www.p2pforum.it/forum/showthread.php?t=115737
. Il problema
sta nel fatto che dopo aver eseguito il programma Virit, mi è stato chiesto
di riavviare, win parte, ma non compaiono le icone praticamente non
funziona più explorer.exe, cercando di avviarlo tramite task manager, mi
dice file inesistente, ma il file esiste lo si trova tramite sfoglia, non
so più come continuare. Grazie per l'aiuto.
Ciao.

 Ciao.
Hai detto che lanciando hijackthis se avviava invece 
explorer.exe.
Levami una curiosità: dal taskmanager anzichè explorer.exe 
lancia hijackthis e vedi se parte invece explorer.exe.
Comunque il reindirizzamento di un eseguibile avviene tramite la 
chiave  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 
NT\CurrentVersion\Image File Execution Options. 
Lancia regedit e naviga a quella chiave. Vedi se c'è la 
sottochiave Explorer.exe (od/e anche shell32.dll). Apri: se sono 
stati reindirizzati all'interno ci sarà il valore Debugger che 
indirizzerà ad un altro eseguibile. Cancella quelle sottochiavi.
-- 
Postato da Alice Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.alice.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

 indirizzerà ad un altro eseguibile. Cancella quelle sottochiavi.
ho trovato una sottochiave explorer.exe riferita a un file rimosso
dall'antivirus, purtroppo non riesco a cancellare la sottociave, mi dice
errore durante l'eliminazione della chiave.
Grazie per collaborazione, ciao.

 
Come supponevo il motivo di explorer.exe non trovato è proprio 
il reindirizzamento ad un malware eliminato. Se non puoi 
eliminare la chiave può essere che non hai le autorizzazioni per 
farlo, trova il modo di dartele o in regedit o tramite le group 
policies C:\WINDOWS\system32\gpedit.msc. Potrebbe anche essere 
l'antivirus a bloccarla,avendo quel file nella quarantena; dacci 
un'occhiata,o prova a chiudere l'antivirus. Ma può anche essere 
che sia il reindirizzamento già effettuato, che poi causa 
l'errore, a bloccarla: prova in modalità provvisoria. Se la 
causa è questa, un espediente potrebbe essere quello di 
installare temporaneamente una shell alternativa ed avviare con 
quella in modo da sbloccare quella chiave e cancellarla. Se non 
ha l'opzione di impostarsi da solo come windows browser di 
default, dovrai, credo,  modificare questa chiave 
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 
NT\CurrentVersion\Winlogon]
"Shell" = "Explorer.exe"
e sostituire Explorer.exe. Metti il percorso completo 
dell'eseguibile, perchè Xp non lo conosce. Sono tutte prove, 
alternative alla formattazione, a tuo rischio, ovviamente.


fraal ha scritto:

Mi è venuta anche questa idea un po' furbetta: se non puoi 
eliminare quella chiave forse la puoi modificare. Al posto del 
file cancellato dall'antivirus metti explorer.exe (col percorso 
completo se necessario)


fraal ha usato la sua tastiera per scrivere :

la chiave non potevo modificarla, comunque ho usato combofix, come mi 
ha suggerito un amico, e tutto è tornato a posto.
Grazie per le risposte.
Ciao.