Newsgroup: it.comp.os.win.xp
Titolo: [virus] l'ho trovato ma è dura

Il virus é: Hacktool.Rootkit
ed è presente in:
C:Windowssystem32driverssrosa.sys
premetto che "HiJackThis" non funziona nel senso che dopo un paio di
secondi che è partito, dice che non può proseguire a causa di
un'applicazione aperta.
"Gmer" mi dà errore con schermata blu e mi blocca il processo
"FixSwen", risulta lentissimo (a casua del virus) e ci forranno mesi per
fare tutta la scansione ma comunque nella directory specificata non mi
pare abbia visto nulla.
"RescueCD" l'ho provato sul PC infetta e in pratica non vede il CD
(stranissimo!)
Explorer non funziona. Norton se ne va per i fatti suoi, probabilmente
danneggiato pure lui.
Ora provo a fare una il Boot CD da un altro PC e speriamo che sia lo
stesso.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

perchè non parti con una distribuzione linux che monti l'hd (es ubuntu), 
estirpi il file e riavvii? 

 ubuntu), estirpi il file e riavvii?
Per questo basterebbe riavviare il pc con il cd di xp, usare la console di 
rispristino e dare il comando del c:\windows\system32\nomecompletodelfile
-- 
Andrea
- - - - - - - - - - - - - - - - - - - - - - - -
www.yogajap.com
 * 
www.yogatman.it
 

 rispristino e dare il comando del c:windowssystem32nomecompletodelfile
Proverò, anche perchè ho tentato di farlo partire in modalitä provvisoria,
in configurazione minima.
Il problema è che non riesce nè in Provvisoria, nè in Provvisoria con
Rete, nè in Ultima configurazione funzionante, nè in Modalità nornale.
Praticamente non posso più avviare. Comunque ho letto che il tipo di virus
è un replicante. In parica non basta andare a lavorare sul System ma
probabilmente in giro ci sarà qualcos'altro.
Ah, il sintomo è proprio quello. Blocca qualsiasi accesso agli "aiuti".
Quindi niente Internet, niente Antivirus, niente sw simili. Non partono e
se partono si bloccano.


 rispristino e dare il comando del c:windowssystem32nomecompletodelfile
A qualcuno risulta che il file incriminato sia un file reale di sistema
oppure è stato aggiunto da questo virus?
In sostanza.....posso eliminarlo senza problemi?
http://snipurl.com/2c7km



Si, ma non mi pare che sia possibile sostituire un'intera cartella (nel
mio caso "drivers") ma solo file singoli.


 Praticamente non posso più avviare. Comunque ho letto che il tipo di virus
puoi puoi :)
e cmq rosa.sys non è nulla di buono :-P 

 C:Windowssystem32driverssrosa.sys
[cut]
Magnifico: un'altra variante del Bagle. Ti conviene usare UBCD a questo
punto, dato che potrai usarlo anche per modificare il Registro del computer
su cui vai ad operare, e cancellare dei file che a volte la scansione con
Antivir, sia pur aggiornato, non elimina. Con il Bagle ho dovuto fare cosě
piů di una volta, specialmente perché srosa.sys a volte non veniva
eliminato e bisognava assumerne i diritti di lettura/scrittura, cosa che
l'antivirus non riusciva a fare.

 C:Windowssystem32driverssrosa.sys
[..]
LiveCD è buttaci e carica su una chiavettina usb, drweb.
Il srosa.sys mi pare faccia parte del begle.
http://www.megalab.it/articoli.php?id=948&pagina=5
Buone letture
Bye
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]