Newsgroup: it.comp.os.win.xp
Titolo: Voi come avreste fatto?

Oggi mi sono trovato davanti al pc di un cliente, in queste condizioni: XP 
professional all'avvio nessuna icona e task manager disattivato. Impossibile 
avviare qualsivoglia applicazione. In mod. provvisoria non partiva! Avviando 
da Hiren's Boot cd riuscivo a far girare Dr. Web cureit che rilevava e 
rimuoveva una miriade di virus, trojan e dialer.
Ma al riavvio sempre taskman  disattivato e nessuna icona...
Io ho formattato e reinstallato XP perch� la macchina non aveva praticamente 
dati da salvare, ma se fosse stato un pc "complicato"?! Come avrei potuto 
debellare "la bestia"???

 debellare "la bestia"???
mah, non sempre il gioco vale la candela, un bel livecd linux, un hd 
esterno per salvare i dati, e poi formattavo: forse non la soluzione + 
elegante ma probabilmente in quella situazione la + veloce e 
sicuramente risolutiva.

 debellare "la bestia"???
sicuramente avrai tolto molti trojan/virus/ecc ma non tutti.
su un pc che mi e' capitato di fare un intervento del genere ho usato 
superantispyware, malwarebytes e un altro prodotto specifico che non 
ricordo, ma in qualche modo era stato possibile identificare cosa 
eliminare e una ricerchina su google mi ha dato la soluzione ad hoc.
Adriano

 debellare "la bestia"???
Con tanta pazienza, un certo grado di esperienza, e un bel po' di
fortuna.
*Per prima cosa, si clona il disco*
Per seconda, ci si convince che la lotta puï¿œ anche durare ore,
tante ore. (il primo rootkit affrontato, ancora poco diffuso,
mi ha preso circa nove ore, ma la macchina era impossibile da
reinstallare in tempi utili per il servizio che doveva fare
assolutamente il giorno dopo; indovina quanto ci hanno messo,
dopo, a comprare un hd esterno e imparare ad usare clonezilla).
Si parte con un cd live, e gli si fa fare una scansione *SENZA*
cancellare nulla.
Si annotano i sintomi, si cerca nelle enciclopedie dei virus un
riscontro, si comincia a ripulire, si cercano tutti i possibili
punti di innesto, registro, autorun, etc.
Si ripulisce il prefetch (se il sistema lo usa).
Si cancellano tutti i temporanei, di ogni tipo.
Si va a guardare nelle directory di sistema per file con date
compatibili con l'inizio dell'infezione.
Si elimina, con un sistema operativo diverso, il cestino e il
contenuto del ripristino di sistema.
Ci si lascia guidare dall'esperienza, e si tenta un riavvio.
Al riavvio si lanciano svariate utilities; antirootkit, ads
explorer, antivirus, con antispy come spybot si disabilitano
o cancellano i BHO, activex, e simili amenitï¿œ, si osservano i
risultati, e si riparte con la scansione da cd live.
Se si trova ancora qualcosa, si va a bere una birra, e ci si
concentra ancor di piï¿œ. ;-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 superantispyware, malwarebytes e un altro prodotto specifico che non
Ho provato, mavisto che il S.O. non si avviava, bootando da chiavetta/cd 
Hiren's non riesco a far girare gli ottimi Combofix, superantispyware, gmer 
ecc. Voi riuscite??? 

debellare "la bestia"???
cazzi suoi, reinstallare � sempre la cosa migliore, a meno che non ti paghino ad ore,
o se hai voglia di perderci tempo.

 
da quel che mi ï¿œ capitato di vedere con un pc con explorer ko
mi ï¿œ riuscito (da taskman) di lanciare i programmi di pulizia
e regedit per rimuovere 2 chiavi compromesse
ma manco in modalitï¿œ provv. con prompt avviava nulla?

 
mi sa in questo caso dipende anche da qualche
chiave del registro che blocca explorer e taskman

 assolutamente il giorno dopo
E in 9 ore non riuscivi a formattare e reinstallare?
-- 
_-=SiMcarD=-_ �
"La tua donna la chiamo atea... perch� di certo non si fa pregare."

 E in 9 ore non riuscivi a formattare e reinstallare?
Se ci fossero stati a disposizione tutti i software da installare,
con i fax di attivazione delle licenze, senza contare uno di quei
software fatti da deficienti che funzionano solo dopo attivazione
con codice generato sul momento, comunicato alla casa costruttrice
al telefono, che ti manda il controcodice da digitare, forse s�.
Ma si trattava di ufficio strano, con il responsabile assente, gli
originali chiss� dove, i codici di attivazioni di enne licenze in
qualche cartella tra migliaia di altre, e il giorno dopo doveva
essere aperto al pubblico.
No, non c'erano altre possibilit� praticabili.


 ma manco in modalit� provv. con prompt avviava nulla?
Macch�... proprio nulla! Di solito mi arrangio, se da provvisoria si avvia 
di solito riesco a risolvere. Ma in questo caso prorpio non se ne parlava di 
avviarsi, forsa la concomitanza di pi� problemi oltre al virus. Per fortuna 
era un'installazione "facile" speriamo non me ne capitono pi�. 

Visualizzazione) Nell'HD: apri la cartella System Volume 
Information. Se non puoi e ti dice che ï¿œ vuota, devi darti le 
autorizzazioni: click destro ->proprietï¿œ->protezione->aggiungi 
l'utente col quale utilizzi il PC e dagli tutte le 
autorizzazioni. Questo se il sistema operativo che stai 
utilizzando ï¿œ XP pro; se ï¿œ Home dovrai farlo in modalitï¿œ 
provvisoria. Aperta la cartella, cerca nelle sottosottocartelle 
RP coi numeri piï¿œ alti il punto di ripristino immediatamente 
precedente o forse meglio quello prima ancora, al giorno in cui 
si ï¿œ verificato il problema. Nella cartella Snapshot c'ï¿œ la 
copia del registro. Aprila e trascina sul desktop i files: 
_REGISTRY_MACHINE_SAM; _REGISTRY_MACHINE_SECURITY; 
_REGISTRY_MACHINE_SOFTWARE; _REGISTRY_MACHINE_SYSTEM; 
_REGISTRY_USER_.DEFAULT.
Ora nell'HD va in :\WINDOWS\system32\config. Leva, ma non 
buttarli, oppure rinomina aggiungendo o togliendo una lettera 
(di solito si aggiunge old) i files 
SAM,SECURITY,software,system,.default ed al loro posto metti 
quelli che hai sul desktop, dopo che li avrai rinominati come 
quelli che hai tolto. Ora XP si trova nelle condizioni 
precedenti al problema: dovrebbe avviarsi regolarmente. Se non 
risolvi cosï¿œ, credo che non ti resti altro che formattare; ma 
sono convinto che funzioni.
-- 
Postato da Virgilio Newsgroup: lo usi da web ma con le funzioni del newsreader 
http://newsgroup.virgilio.it
Gerarchie it, italia, it-alt, tin, it.binari. Unico!

 in alcun modo lanciarli.  
Ma regedit lanciato da un live-cd fatto, ad esempio, con BART-PE
puï¿œ caricare hives del registro ospite, e modificare/eliminare i
pezzi di registro incriminati.
Non essendo in funzione il rootkit, i file sul disco sono del tutto
visibili, (ADS compresi) ed eliminabili.


 scegli nell'indice una voce che possa fare apparire nel testo 
a destra il link alla cartella documenti (es: invio file e 
cartelle; ma tu provane diverse)->visualizza. Nel testo a detra 
clicca sul collegamento a "documenti" e dalla cartella documenti 
inizi la navigazione scegliendo nella barra a sinistra "risorse 
del computer". Puoi navigare in windows e lanciare regedit: 
C:\WINDOWS\system32\regedt.exe; il ripristino:C:\WINDOWS\system32
\Restore\rstrui.exe; Il prompt dei comandi dal quale puoi 
eseguire qualsiasi cosa con linea di comando: C:\WINDOWS\system32
\cmd.exe; o quello che ritieni necessario, sempre che queste 
cose funzionino e non siano state disattivate dal virus: cosa 
molto probabile.


Finalmente una risposta "educativa" � un bel p� che mi occupo di pc, ma 
difficilmente incontro persone disposte a condividere le conoscenze.
Grazie veramente!

 visibili, (ADS compresi) ed eliminabili.
Puoi eliminare, come dici tu i files del rootkit, perchï¿œ saranno 
visibili e non in funzione, sempre se sai quali sono, ma questo 
il piï¿œ delle volte conduce ad una bella schermata blu all'avvio 
del SO. L'errore che la causa, senza scendere nei dettagli, ï¿œ lo 
stesso di quello di un driver non trovato. L'unico rimedio ï¿œ 
quello di avere il control set del registro alla condizione 
precedente al rootkit. Senza la chiave che li carica all'avvio i 
files sono del tutto innoqui e possono restare dove sono.


debellare "la bestia"???
Chiaramente se ci fosse una regola unica sarebbe troppo facile, ma a
grandi linee anzittto con tutti gli antivirus su live-cd che riesci a
trovare (non preoccuparti: ti bastano le dita di una mano per
contarli...).
Sempre con un live cd, runscanner e cancellazione manuale di tutti gli
automartenti ignoti.
Se dopo di cio' windows parte, gli infilo un bel combofix.
E infine riparazioni alla bisogna (esistono piccoli eseguibile per
ripristinare l'avvio degli EXE, della barra delle applicazioni, e
cosi' via).
Qualche modifica a mano sul registro sara' sicuramente necessaria.