Newsgroup: it.comp.aiuto
Titolo: Urgente rootkit royetuki

Mi è entrato nel pc il seguente
royetuki.dll che non riesco a rimuovere nemmeno da msconfig
tolgo la spunta e richiamando ms config riappare
Siccome non ho ancora riavviato il pc
che posso fare?
che danni potrebbe dare?
grazie

 grazie
Utilizzando virus total esafe lo chiama virtumonde
Qualcuno conosce un metodo sicuro di rimozione senza danni?

 Qualcuno conosce un metodo sicuro di rimozione senza danni?
Scarica, installa, avvia, aggiorna ed esegui MalwareBytes Antimalware:
http://www.malwarebytes.org/mbam.php
Scarica, installa, avvia, aggiorna ed esegui Superantispyware:
http://www.superantispyware.com/
Scarica installa ed esegui gmer e rimuovi il rootkit:
http://www.gmer.net/index.php
Dopo vedi un po' se hai risolto del tutto.
Oh... ATTENZIONE se la macchina è da cazzeggio o comunque non vi devono 
transitare dati ed informazioni importanti puoi provare ad eliminare il 
malware, ma se invece viene usata per cose un tintinello serie (es. home 
banking, o conserva dati ed informazioni riservate) va reinstallata ex 
novo, o come minimo va ripristinato un backup sotto forma di immagine 
della partizione di sistema.
In questi casi vale sempre la massima "macchina compromessa si rifà nuova".
-- 
Ciao, Guglielmo.

 
http://www.malwarebytes.org/mbam.php
[...]
Aggiungo Microsoft "Malicious Software Removal Tool", che rimuove molte
varianti di "Vundo":
http://www.microsoft.com/italy/security/malwareremove/families.mspx
MSRT Home:
http://www.microsoft.com/italy/security/malwareremove/default.mspx
MSRT Download:
http://www.microsoft.com/downloads/details.aspx?displaylang=it&FamilyID=AD724AE0-E72D-4F54-9AB3-75B8EB148356
http://www.microsoft.com/italy/security/falsi-antivirus.mspx
"Il computer è stato infettato da un falso antivirus, antispy/malware - Come
faccio a rimuoverlo?"
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional since 2003
Windows Internet Explorer, Windows Desktop Experience & Security
My MVP Profile: 
https://mvp.support.microsoft.com/profile/Vincenzo
My Blog:  
http://blogs.dotnethell.it/vincent/

 My Blog:  
http://blogs.dotnethell.it/vincent/
Grazie per l'assistenza a te e a Guglielmo
Comunque ho poi scaricato Superantispyware (solo 5MB)
installato e aggiornato le definizioni
Non so se ha agito sul registro ma nella cartella
C: Windows System32 c'era il royetuki.dll
e non me l'ha segnalato
Al riavvio in modalità provvisoria eseguita dallo stesso programma
l'ho potuto rimuovere senza che si riformasse
Mi rimane però da msconfig che si riforma la spunta
al cammino che lo richiama
Quindi entrando in account mi segnala questo fatto come errore
Da regedit ho riscontrato 3 chiavi con quel nome
una di queste, cancellata ,si riforma
Eventualmente vi chiedo se sia sufficiente
cancellare quelle chiavi
Grazie

 Grazie
Prego.


 cancellare quelle chiavi
Segui tutte le indicazioni che ti sono state date :), purtroppo il 
malware attuale richiede l'intervento di diversi prodotti in 
contemporanea, visto che la stessa tipologia può variare e mutare 
continuamente e spesso e volentieri si accompagna con altro, quando non 
è lui stesso a scaricarlo ed installarlo in automatico.
Installa malwarebytes antimalware e fai un giro con lui. Dopo usa lo 
strumento di rimozione malware per Microsoft Windows. Infine gmer e 
verifica se ti indica qualche rootkit da eliminare.
-- 
Ciao, Guglielmo.

Giusto per condividere l'esperienza
facendo girare Process Explorer
ho trovato che Explorer.exe
aveva in sè anche un certo
biluguki.dll 60KB nascosto
residente in
c windows system32
In modalità provvisoria nemmeno
ne voleva sapere di andare nel Cestino
Però ha ceduto alla rinomina
e così al riavvio l'ho potuto spostare
Effetto della cosa
da msconfig il path inutile su royetuki
(che avevo già eliminato)
si lascia despuntare
senza ricomparire

Come non detto

Come non detto
Effettivamente in system32 si riforma con nome diverso ogni volta
Pensavo fosse meno innocuo invece...
Proverò come dite

Risolto grazie