Newsgroup: it.comp.os.win.xp
Titolo: virus e privilegi di sistema

salve a tutti
credo di aver beccato un virus/trojan veramente tosto sul mio pc con xp sp2
il suddetto virus viene eseguto tramite un servizio di nome efZ e all'avvio
carica un file situato in programmi peraltro crittografato e invisibile.
impossibile cancellare il servizio perche' a quanto pare non ho piu' i
privilegi di sistema, idem con il file che il servizio carica  che e' in
uso anche se nei processi di sistema non e' visibile. come se non bastasse
tale file ad ogni avvio si rinomina . niente da fare neanche inmodalita'
provvisoria. ho provato a cancellarlo col cd di xp e la console di sistema
ma a quanto pare posso accedere solo a windows, se vado in programmi
ottengo un bell'accesso negato...al momento non ho altre idee se non di
reinstallare un secondo xp e cancellare il malnato file da li'..voi che ne
dite? si accettano consigli :)

 dite? si accettano consigli
Format c: 

 sp2 il suddetto virus viene eseguto tramite un servizio di nome efZ
[...]
Leggi e segui attentamente questo editoriale:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyquick.mspx
"Spyware e Malware: chi ci spia? - "Fix Rapido".
Se al termine delle procedure non hai risolto il problema vai qui:
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx
"Spyware e Malware: chi ci spia?"
... e procedi con tutti i passi indicati.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My Blog: 
http://blogs.dotnethell.it/vincent/
My Home: 
http://mvp.support.microsoft.com/

 ottengo un bell'accesso negato...al momento non ho altre idee se non di
Nemmeno con il CACLS riesci a ottenere il controllo del file che vuoi 
cancellare? 

 dite? si accettano consigli :)
per attvare l'accesso dalla console di ripristino, basta impostare
l'apposito criterio locale (policy)....
per eliminare file in uso... puoi provare a sovrascriverlo con l'utilitu
"inuse" di microsoft... (lo trovi da qualche parte nel sito),.. una volta mi
ha salvato...

 ha salvato...
grazie provero', qualcosa di simile l'ho effettuata tramite hijackthis
che ha un'opzione  analoga che cancella i file desiderati al riavvio
.... purtroppo senza esito

 ha salvato...
grazie provero', qualcosa di simile l'ho effettuata tramite hijackthis



no, non centra... devi proprio entrare nel windows in modalità normale e 
abilitarle da li.. (strumenti amministrazion->criteri di protezione 
locali->criteri locali->opzioni di protezione->console di ripristino:)

 "Spyware e Malware: chi ci spia? - "Fix Rapido".
ciao, grazie per la risposta, conoscevo gia' il tuo editoriale,
tralaltro ben fatto..purtroppo credo ci sia ben poco da fare..lo
spyware e' stato rimosso ma ha fatto dei danni credo irreversibili..non
e' possibile modificare i servizi di sistema , il registro  e neanche
installare programmi..l'account risulta sempre limitato...anche
entrando con "administrator" il problema persiste...in questi casi non
c'e' altro da fare che  formattare?

 installare programmi..
[...]
http://www.microsoft.com/italy/technet/community/mvp/editoriali/spyware.mspx#EXPAE
Scarica ed esegui Hijackthis, quindi invia il file di .log in
it.comp.sicurezza.virus.
Una volta certi che la macchina sia *veramente* pulita si può tentare una
riparazione di Windows.
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

 riparazione di Windows.
Ciao, ho finalmente risolto, ho inizialmente disattivato il servizio
incriminato con "sc delete "nome servizio"..poi ho provato a rimuovere
le chiavi di registro del servizio senza successo in quanto alcune
erano bloccate, altre nascoste!
Seguendo l'articolo presente al seguente link 
http://tinyurl.com/p3tod
mi sono assegnato i  permessi per ottenere il controllo sulle chiavi .
dopo vari tentativi sono riuscito ad eliminare tutte le chiavi del
servizio . il sistema e' tornato alla normalita', sono di nuovo
amministratore al 100% :)
Grazie per l'aiuto e ancora complimenti per la guida
Mi dispiace per l'utente che ad inizio thread mi aveva consigliato di
formattare :)

 formattare :)
Eh si, questa volta hai vinto tu ;-)


> Mi dispiace per l'utente che ad inizio thread mi aveva consigliato di
formattare :)
Per carità, sono contento che tu abbia risolto, io volevo solo dire che in 
questi casi, invece di perdere settimane per risolvere il problema (e, 
magari, rimanere con il dubbio che il virus abbia lasciato qualche altra 
traccia che mi è sfuggita), preferisco perdere qualche ora per riinstallare 
il SO (magari da un'immagine precedentemente salvata con Ghost, e 
supponendo, ovviamente, che i dati siano su un'altra partizione). Ma il 
mondo è bello perchè è vario, mica dobbiamo pensarla tutti allo stesso modo.
Marco

 riinstallare il SO
[...]
Vero. Non hai tutti i torti. Esistono casi in cui l'infezione è così
profonda e devastante che un normale utente non potrebbe riuscire a
ripulire, disinfestare e ripristinare in modo efficace il sistema.
La formattazione e reinstallazione in pulito in questi casi è e rimane
l'ultima spiaggia.
