Newsgroup: it.comp.os.win.xp
Titolo: Virus e problemi al sistema

Ho notato la presenza molto possibile di un virus da quando all'avvio mi rimaneva l'hd a frullare
per un sacco di tempo, alcuni min., inoltre d'improvviso non mi partivano piu' alcuni elementi del
pannello di contr., per la precis. gli strumenti di amministraz., oltre a questo qualche altro sintomo,
cosi' inizio l'indagine, non possiedo antivirus aggiornato e non lo voglio, di solito mi regolo con delle
scansioni online+tool di rimozione oppure disinfezioni a mano se si puo'... prendo un
eseguibile sicuramente infetto, lo carico su un sito che scandisce singoli files e mi trova il Virus.Win32.
Virut.at, cosi' mi metto alla ricerca di un tool di rimozione, ne trovo uno dopo un po' di lavoro,
lo eseguo e mi pulisce una sfilza di eseguibili .EXE, non so se fa dell'altro oltre a ripulire i files, ma nel
log non c'e' traccia di ativita' nel registro, sta di fatto che non mi funzionano ancora gli strum. di
amministraz. e ci sono delle anomalie, poche, tipo che ogni finestra di Internet explorer nuova mi
si apre con dimensioni  piccole quando di solito era a tutto schermo. Ho provato a eseguire
mmc.exe e aprire i files .msc (per aprire gli strumenti di amministr. a mano) ma non lo fa, mi dice che
o non esiste il file (msc) o non ho i diritti per aprirlo o e' stato creato con una versione successiva o
non e' una console mmc...
ho tentato di recumerare dal cd un file originale .mmc ma non si apre..
che cosa posso tentare?
Grazie.

 ha scritto nel messaggio 
news:G%Wtp.13192$GZ3....@tornado.fastwebnet.it...

ti rispondo subito dicendo che non è facile immaginare cosa tentare, non 
conoscendo in dettaglio la situazione che ti si è creata.
ma intanto posso dirti che ti sono vicino perchè il Virut è stato non molto 
tempo fa un mio grande amico, e sono riuscito a trattarlo con ogni genere di 
riguardo, e ti apprezzo e capisco perchè ciò che fai tu è esattamente ciò 
che faccio anche io
"non possiedo antivirus aggiornato e non lo voglio, di solito mi regolo con 
delle scansioni online+tool di rimozione oppure disinfezioni a mano se si 
puo'... "
2 anni e mezzo fa ho beccato fragorosamente Virut56, non lo conoscevo, non 
ho saputo rimediare subito, ma poichè ho visto subito cosa combinava, sono 
riuscito a debellare la situazione col Cureit Dr. Web,e ho potuto rimettere 
grosso modo in piedi il pc.
Nel frattempo non avendo ancora capito che il Winlogon era il primo veicolo 
infetto, non sono riuscito ad evitare di infettare 2 pendrive e i 2 
successivi pc.
Cmq con santa pazienza dopo qualche mese ho rimesso tutto in ordine, anche 
se con varie imperfezioni, ma credo meno delle tue.
Ancora tempo dopo, non so come, beccato un'altra volta sul portatile, ma 
questa volta avevo imparato la lezione, e ho potuto fermare il processo 
maligno che conosci più che in tempo.
Possiamo dire che i files di sistema ci devono essere tutti, possibilmente 
con la data poropria della versione, e possibilmente non semplicemente 
curati, il che cmq è già molto.
Per i particolari che esponi non so dirti molto, ma se mi dettagli meglio, 
cmq potrei raccontarti altre cose.
Quali tools hai ? 

 Quali tools hai ?
Io uso process explorer, con lui ho scoperto per certo il virus, il processo explorer.exe
all'avvio mi apriva in sequenza una sfilza di .exe e li si vede, da li ho preso un eseguibile
che ho letto, l'ho uppato sul sito Kaspersky per una scansione singolo file e ha trovato
il Virut, poi uso Autoruns, ho un antivirus free piccolo che ho pure aggiornato ma non trovava
un cavolo 'sta bestia, ho disattivato il suo processo autoavviante.. forse e' il caso che lo riattivo
un giorno o l'altro...
non ho altro credo a parte il regedit.

 all'avvio mi rimaneva l'hd a frullare
Prova a disinfettare con Combofix: fin'ora è
l'unico programma che me li ha debellati tutti,
i pochi virus che ho beccato. 

 ha scritto nel messaggio 
news:h5_tp.13283$GZ3....@tornado.fastwebnet.it...
se hai un minimo di pazienza cerco di risponderti adeguatamente spero in 
giornata, poichè ho un sacco di casini da risolvere 

scansioni online+tool di rimozione oppure disinfezioni a mano se si puo'... prendo un
Se hai gia' deciso di tenerti i virus ("non possiedo antivirus
aggiornato e non lo voglio"), da noi cosa vuoi? 

 aggiornato e non lo voglio"), da noi cosa vuoi?
da te niente perche' si vede che non leggi bene.. sei prevenuto e non ti interessa granche'
aiutare si vede.. se non sai puoi almeno stare da parte..

 non ho altro credo a parte il regedit.
il regedit è importante se lo si sa manovrare, purtroppo non è chiaro su 
quali chiavi bisogna agire, è come le creste di gallo: se non le stronchi 
tutte insieme, se su 100 ne resta una sola , sei fregato
che cosa mi ha realmente aiutato, appena in tempo, dopo che qualche 
antivirus anche blasonato mi cancellava di fatto gli eseguibili ?
un ottimo antivirus che non conoscevo
CUREIT di DrWeb, è stato capace di girarsi tutte le cartelle di tutti i 
dischi disinfettando, e non eliminando o spostando o rinominando, ogni 
singolo eseguibile o archivio.
alla fine tutto funzionava tranne il Winlogon e ricominciavo daccapo.
Poi servendomi di un pc non infetto ho cominciato a trovare anche 
qualcosaltro.
intanto un microscopico programma apparentemente stupido che cmq fa le veci 
rapide di un firewall bloccando semplicemente ogni singola porta che gli si 
dice, EMSA Port Blocker
http://www.e-systems.ro/port_blocker.htm
il che serve almeno a darti respiro se proprio avessi bisogno di collegarti 
col pc infetto, ma non ricordo con certezza se a un certo punto per caso il 
blocco venisse aggirato da qualche altro file di sitema per prelevare nuovi 
maligni. tutto sommato ha funzionato
Poi dalla Symantec il FIXVIRUT
http://www.symantec.com/security_response/writeup.jsp?docid=2009-022016-4444-99
che però DEVE essere eseguito in modalità provvisoria, e in seguito ho 
notato che proprio e solo eseguendo i tools in provvisoria si avevano 
speranze di vincita
dal sito di AVG
http://free.avg.com/it-it/rimozione-dei-virus
utili e importanti 2 tools specifici contro Virut e sue varianti, e contro 
un certo Sality che ha lo stesso meccanismo d'azione del Virut, anzi proprio 
il secondo è stato l'ultimo che ho usato con pieno successo perchè il primo 
nonostante il completo passaggio di Cureit veniva poi esso stesso infettato 
da Winlogon.
http://free.avg.com/it-it/67762
    anti-virut
http://free.avg.com/it-it/67769
    anti-sality
questi 2 tools sono composti in totale di 5 files, i cui exe principali è 
comunque assolutamente consigliabile eseguire in provvisoria
In definitiva riepilogando, ricordo grosso modo
anzitutto abbandonare internet
disattivare tutto l'inutile a comiciare dal servizio di ripristino config di 
sistema
munirsi di tutti questi strumenti tramite un pc SANO, compreso il grandioso 
e piccolissimo CurrentPorts
http://www.nirsoft.net/utils/cports.html
il quale, se connessi, ci fa vedere ogni sacrosanta porta aperta in ingresso 
o uscita
andare in provvisoria
Cureit per disinfettare tutto sistematicamente
svuotare OGNI cartella inutile o sospetta
Eseguire i tools FixVirut.com, RmVirut.exe, RmSality.exe, possibilmente 
avendoli PRIMA messi su un CD, in modo da non poter essere inattivati o 
infettati.
Riavviare
Lanciare CPORTS.exe
Collegarsi e guardare SUBITO se WINLOGON dialoga con la porta remota 65520, 
magari cercando di tenerla bloccata col EMSA suddetto
Se Winlogon NON lo vedi affatto, continua a restare collegato e monitorare 
perchè forse ce l'hai fatta
Se Winlogon lo VEDI devi per forza vedere anche la porta 65520, e allora 
purtroppo qualcosa è sfuggito.Devi ricominciare la Via crucis, poichè 
Winlogon NON deve connettersi mai.
Io ho collezionato un mare di documenti tutti su Virut
Per stasera spero di averti dato un aiuto iniziale
Ciao 

>>>>  
http://www.bb2002.it
 :)  <<<<<

 sempre basta per cui, perchè?
nell'attesa che risponda lui, se vuoi provo a dirti i miei motivi che forse 
sono simili ai suoi
nasce un po' come una sfida, pensando di navigare in siti esenti, saperli 
riconoscere a occhio nella posta, pensare di poterli individuare da solo e 
pulirli a mano (mi pare l'abbia proprio detto), ci sono i tools specifici 
che bene o male puliscono a posteriori, l'antivirus non sarà mai perfetto, è 
pesante, invasivo, rallenta.
In genere bene o male si puo' cercare e spesso riuscire a stare attenti agli 
oggetti che si scaricano prima di cliccare
nella posta si evitano gli allegati exe com bat pif dll scr, si potrebbe 
aver provveduto a chiudere chirurgicamente tutte le porte, usare bene un 
firewall, usare al meglio la testa, e via dicendo.....
se in questo modo si riesce ad evitare infezioni ci si sente contenti e 
bravi, e non sto ironizzando, perchè è ciò che faccio io stesso da sempre, 
avendo cmq beccato 3 o 4 cose, di cui solo l'ultima peasantissima, in 12 
anni.
Rispetto alla media non è poco come pura soddisfazione 

 ma cerco cmq di darti qualche dritta
Interessante. Ma perchč non hai citato ComboFix,
che per mia esperienza č uno dei programmi
di dinfezione piů efficaci? 


puo'  darsi che io l'abbia dimenticato, sinceramente non ricordo se a suo
tempo l'ho usato, forse sì


wrote:

Ah certo, il prevenuto sono io, non chi dice una stronzata tipo "non
ho l'antivirus aggiornato e non lo voglio".  E' utilissimo rispondere
ad una domanda del genere.

nasce un po' come una sfida, pensando di navigare in siti esenti, saperli 
La sfida l'ha persa, ha un virus, per cui di cosa si sta parlando? 

 oggetti che si scaricano prima di cliccare
Mai sentito parlare di sasser e simili oggetti, allora?
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

di dinfezione più efficaci? 
Combofix non e' un antivirus a 360gradi, e' specifico per alcune
infezioni e per alcuni sintomi.

 La sfida l'ha persa, ha un virus, per cui di cosa si sta parlando?
si sta parlando di come rimediare 

 Mai sentito parlare di sasser e simili oggetti, allora?
l'antico sasser lo presi anche io 7 anni fa quando non ero esperto come ora
poi uscě la patch di aggiornamento sistema, per caso ne hai sentito parlare 
?
invece la maggior parte dei cretini clicca su qualsiasi cosa pur di 
cliccare, pur di scaricare 

 -cut-
anzi, per essere più preciso, dico che i miei pc, lungi da essere macchine 
per giocare, sono macchine fatte solo per la manutenzione e la sicurezza, mi 
diverto proprio a fare manutenzione e sicurezza, quasi quasi fine a se 
stesse, senza antivirus.
E tanto per ripeterne una, io sandboxo tutto, ma proprio tutto, anche i 
keygen maligni.
OK ? 



Con diversi antivirus prima, e uno dopo.

 cliccare, pur di scaricare 
Ma questo è vero, non lo nego.
Ma il tuo ragionamento equivale a passare con il rosso una volta ogni
tanto, del resto, c'è gente che lo fa tutti i giorni!


AIOE ha scritto:

Ok.
Ma (non scherzo, e non sono polemico, è proprio una domanda) che
sandbox usi che non consenta l'uscita degli effetti del virus?
Perché se non isola le comunicazioni, torni ad essere "egoista",
la tua macchina è sempre in forma, appena spegni la sandbox, ma
intanto cosa hai combinato, in rete?
[*] Esperienza vissuta, non è pura teoria, un collega ha fatto
alcuni esperimenti. <vbeg>


 infezioni e per alcuni sintomi.
In almeno quattro casi mi ha debellato virus che Superantispyware
e Antivir, o non rilevavano, o rilevavano ma non riuscivano
a sradicare totalmente. 

 tanto, del resto, c'è gente che lo fa tutti i giorni!
passare col rosso non calza perchè sarebbe pericoloso anche per gli altri, 
io invece mi faccio gli affari miei, col virut che distrugge solo il mio pc, 
posso o no ? 

 intanto cosa hai combinato, in rete?
come già detto non ho rete

 come già detto non ho rete
Non sei collegato ad una rete? No? I tuoi bit con il testo del post mi 
saranno arrivati con il teletrasporto, così come quelli del Blaster ti 
saranno arrivati con... la divina provvidenza? :-P
-- 
Ciao, Guglielmo. 


non possedendo una rete domestica mi ero chiesto cosa intendesse per rete, 
per vicino di rete, ma nel caso della Rete avevo già detto che il Virut se 
la prese certamente solo con me, ne ho tutte le prove 


segno...

 ad una domanda del genere.
ma che c'entra prevenuto??? NON ho le risorse di sistema per ospitare un antivirus,
quelli gratuiti hanno delle pecche, li ho sempre dovuti disinstallare perche'
portano via tempo all'avvio, memoria ram e disco.. sono sempre piu'
strapieni di programmini accessori, mi ingolfano tutto.. bisogna essere masochisti..

non dico fesserie , uso il pc tutti i giorni, l'ultima volta che ho avuto un virus serio era due anni
fa, in 3 pomeriggi circa ho sistemato il pc, non e' poco ma meglio che perdere tempo ad
aggiornare sti' anitvirussi..

 toglierti lo sfizio di sfidare i virus.
mah scusa, ovvio, l'utente comune deve usare l'a.v., mica tutti hanno tempo etc etc di fare
lo stesso mio.. intanto se in internet ci fossero meno utenti 'gnurant i virus avrebbero
+ vita dura..

 non posseggo rete
intende internet..

 poveri gallo, perche' tosarlo? sara' un modo di dire..
Mica tanto un modo di dire. :-P
"creste di gallo" è la definizione popolare di una malattia.
Condilomi-verruche genitali-papilloma virus-HPV.


> > poveri gallo
scrivevo un po' al buio..

 poveri gallo, perche' tosarlo? sara' un modo di dire..
ahah, come ti hanno gìà detto le creste di gallo sono una malattia venerea 
molto seccante fatta di centinaia di verruchine sul glande che vanno 
eliminate, bruciate una ad una, se ne resta una sola ricominciano più di 
prima

 prima
ma che schifezze mi racconti...  ?


non vorrei averti schifato ma ho paragonato l'infezione da Virut a quella 
umana da creste di gallo, espressione popolare per intendere la malattia 
venerea detta Condilomi acuminati.
Come in questa malattia umana č indispensabile riuscire ad eliminare tutte 
le verruchine che si formano, nessuna esclusa, pena la recidiva, allo stesso 
modo per il Virut č necessario disinfettare tutti gli eseguibili, nessuno 
escluso, pena la rapida recidiva.
 
http://www.lucianoschiazza.it/Documenti%20new/Faqs_New/Mst%20Faqs/Condilomi.html
 


nooo... mi fidooo!
allora, il CUREIT da come me lo hai descritto rimuove il virus penso ma non alcune cause...
non so se e' il caso ma vedro' se al limite ha un'opzione per curare solo il registro,
l'rmvirut di AVG lo avevo gia' provato e non mi rileva, effettivamente era descritto per un'altra
variante, il Fixvirut non posso farlo girare perche' gia' da tantissimo tempo avevo un problema
che non mi fa avviare in safemode, probabile traccia dell'ultimo virus.. ho perso tempo a studiare
il problema con regmon e filemon ma non ho cavato nessun ragno..

 cavato nessun ragno
infatti sono programmini interessanti ma purtroppo non rapidamente utili 
nell'emergenza.
Certo, se tu potessi mettere il tuo hard disk in slave su altra macchina, 
tutto sarebbe più facile 

 tutto sarebbe piů facile
questo non aiuta a curare il registro pero'...  per ora niente di nuovo, devo per forza reinstallare
stavolta mi sa, pero' la prossima volta spero si possa impostare dei punti di ripristino in automatico
con operaz. pianificate, cosi' tutti questi problemi si risolvevano con pochissimo..

 pochissimo..
no, dai, il ripristino nooooo, per il virut noooo
mi dispiace, crfedevo che tu ne avessi fatto giustamente un problema di 
puntiglio comprensibile, perso per perso.
Io posso solo ribadire che a maggior ragione se tu abbia un pc sano, 
mettendo l'infetto in slave faresti prima, cosa che non feci io in tempo a 
fare.
Ricorda, tutti gli eseguibili, i .tmp e soprattutto il winlogon, con 
svuotamento delle cartelle inutilmente piene.
In questi giorni mi sono un po' riletto il problema e ho trovato una chicca 
che ho scaricato:
http://www.symantec.com/business/support/index?page=content&id=TECH141402
il Support tool nella pagina del link va alla ricerca di malignità non 
altrimenti riconoscibili
sembra una cosa un po' tecnica e sto cercando di capire.
Cmq io sto usando il portatile che mi fu infettato l'anno scorso, curato 
all'istante, e che ora va benissimo.
tu invece, mica stai usando il pc infetto ? altrimenti vorrebbe dire che hai 
un altro pc da usare appunto come master.
Ciao 

 un altro pc da usare appunto come master.
non ho un altro pc mio con xp.. dovrei usare quello di un altro ma non mi va..
ho 2 protatili uguali in attesa di vendita, manca l'hd pero' ne ho comperati due
per essi.. vedro' il da fare..

 manca l'hd pero' ne ho comperati due per essi.. vedro' il da fare..
ecco un'occasione per installarci il sistema operativo e se possibile
metterci il tuo hd in slave per cura dall'esterno, in questo caso
mancherebbe il cassetto USB per l'HD